Collabora Online – Built-in CODE Server OS Command Injection Vulnerability

NGHIÊM TRỌNG 9.8ĐANG BỊ KHAI THÁC (CISA KEV)CVE-2026-110447 · Công bố 14/10/2026 · cập nhật 30/10/2026

Collabora Online – Built-in CODE Server OS Command Injection Vulnerability. Đang bị khai thác thực tế: CISA đưa lỗ hổng này vào danh mục Known Exploited Vulnerabilities ngày 23/10/2026. Hãy vá các hệ thống bị ảnh hưởng ngay.

Tóm tắt nhanh

CVE-2026-110447 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng collabora online - built-in code server (collabora).
Đang bị khai thác thực tế: CISA đưa vào danh mục KEV ngày 23/10/2026.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 73.3%, cao hơn 99.5% các lỗ hổng khác.
Cách xử lý: cập nhật lên 26.4.303 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
collabora online - built-in code server collabora	`< 26.4.303`	`26.4.303`

Mô tả

Collabora Online Built-in CODE Server before 26.4.303 (richdocumentscode), a Nextcloud app, allows remote code execution, as exploited in the wild in September and October 2026, a different vulnerability than CVE-2025-66208. This is an OS command injection in proxy.php when the CODE server isn't running (e.g., the product was recently restarted). The vulnerability is not present in standalone Collabora Online servers; only this deployment with CODE Server is affected.