Firma korzysta z Nextcloud do pracy nad dokumentami? Poproś administratora o sprawdzenie aplikacji Collabora Online – Built-in CODE Server. CERT Polska informuje, że luka CVE-2026-110447 jest wykorzystywana do ataków ransomware i przejmowania serwerów.
Których instalacji dotyczy ostrzeżenie?
Podatna jest aplikacja richdocumentscode w wersjach starszych niż 26.4.303. Atak bez logowania pozwala wykonywać polecenia z uprawnieniami konta serwera WWW, gdy wbudowany serwer dokumentów CODE chwilowo nie działa — na przykład po restarcie, aktualizacji lub awarii.
Ta podatność nie obejmuje samodzielnych serwerów Collabora Online ani instalacji używających wyłącznie Nextcloud Office (richdocuments) z zewnętrznym serwerem Collabora. Nie oznacza więc zagrożenia dla każdej instalacji Nextcloud.
Co powinien zrobić administrator?
- Zaktualizować richdocumentscode do 26.4.303 lub nowszej wersji. Producent potwierdza, że w tej wersji usunięto błąd.
- Nie poprzestawać na wyłączeniu aplikacji w panelu — według producenta nie usuwa to zagrożenia. Alternatywą jest jej usunięcie.
- W przypadku Nextcloud 29 lub starszego producent zaleca aktualizację Nextcloud albo usunięcie tej aplikacji.
- Sprawdzić ślady włamania. CERT wskazuje m.in. pliki
shx*.phpw kataloguapps/richdocumentscode, podejrzane żądania doproxy.php?statusi próby użyciasudoprzez konto serwera WWW. Szczegółowe wskaźniki znajdują się w komunikacie źródłowym.
Dodatkowe zalecenie dla firmy
Jeśli usługą zarządza zewnętrzny dostawca, poproś o potwierdzenie sposobu instalacji, wersji aplikacji i przeprowadzenia kontroli. Sama aktualizacja nie stanowi potwierdzenia, że wcześniejszego włamania nie było. Przy podejrzanych śladach zachowaj logi i zleć analizę opiekunowi IT. CERT zaleca zgłoszenie oznak wykorzystania luki przez formularz incydentu.
Źródła i licencja
CERT Polska / NASK — komunikat 194/2026 o luce w Collabora Online dla Nextcloud. Data komunikatu: 20.10.2026. Dodatkowa weryfikacja: biuletyn bezpieczeństwa producenta Collabora z 14.10.2026.
Opracowanie i skrót: Domenafirmy. Zmieniono tytuł i układ, sprawdzono zalecenia producenta oraz dodano wskazówki redakcyjne dla firm. Komunikat CERT i niniejsze opracowanie: CC BY-SA 4.0. Okładka: ilustracja koncepcyjna wygenerowana dla Domenafirmy; nie jest materiałem CERT lub producenta ani dokumentalnym zapisem ataku.