CVE-2026-110447

9.2Critique Exploitée activement

Faits confirmés

Données publiées par NVD. La traduction française est automatique : le texte anglais fait foi.

Collabora Online Incorpor-in CODE Server avant 26.4.303 (richdocumentscode), une application Nextcloud, permet l'exécution de code à distance, comme exploité dans la nature en septembre et octobre 2026, une vulnérabilité différente de CVE-2025-66208. Il s'agit d'une injection de commande OS dans proxy.php lorsque le serveur de code n'est pas en marche (par exemple, le produit a été redémarré récemment). La vulnérabilité n'est pas présente dans les serveurs Collabora Online standalone ; seul ce déploiement avec le serveur de CODE est affecté.

Texte officiel (anglais)

Collabora Online Built-in CODE Server before 26.4.303 (richdocumentscode), a Nextcloud app, allows remote code execution, as exploited in the wild in September and October 2026, a different vulnerability than CVE-2025-66208. This is an OS command injection in proxy.php when the CODE server isn't running (e.g., the product was recently restarted). The vulnerability is not present in standalone Collabora Online servers; only this deployment with CODE Server is affected.

Versions touchées

collabora collabora online - built-in code server avant 26.4.303

Correctif et avis officiels

Statut NVD : Analyzed · CWE-78

Notre analyse automatique : en termes simples

Explication générée à partir des données officielles, sans test de notre part. Elle peut simplifier ou se tromper.

Type d’erreur : Injection de commande

Une saisie arrive jusqu’à une commande du système. Un attaquant peut faire exécuter ses propres commandes.

Comment elle s’exploite

Un attaquant peut l’exploiter à distance, par le réseau, sans aucun compte, sans action de la victime. L’attaque est simple à réaliser.

Ce qu’un attaquant pourrait faire

lire des données confidentielles
modifier des données ou le système
rendre le service indisponible

Mini glossaire

CVE: Numéro public unique attribué à une faille, pour que tout le monde parle de la même chose.
CVSS: Note de gravité de 0 à 10. Elle mesure la gravité théorique, pas le risque réel chez vous.
CWE: Catégorie du type d’erreur à l’origine de la faille.
KEV: Liste de l’agence américaine CISA recensant les failles réellement exploitées par des attaquants.
Correctif: Mise à jour publiée par l’éditeur pour supprimer la faille.
Atténuation: Mesure temporaire qui réduit le risque quand le correctif n’est pas encore appliqué.

Articles liés

23 oct.14:00

CISA ajoute une vulnérabilité explicitée connue au catalogue

Le CISA a ajouté une nouvelle vulnérabilité à son catalogue de vulnérabilités explicitées connues (KEV), en se fondant sur des preuves d'exploitation active. CVE-2026-110447 Collabora Online – Incorporated-in CODE Server OS Command Vulnerability Vulnerability Ce type de vulnérabilité est un vecteur d'attaque fréquent pour les cyberacteurs malveillants et pose des risques importants pour l'entreprise fédérale. Directive opérationnelle contraignante (DBO) 26-

CISA Advisories

CVE-2026-110447 Que dois-je faire ?

This product uses data from the NVD API but is not endorsed or certified by the NVD.