Már kihasználják a Nextcloud beépített CODE szerverének kritikus hibáját
Távoli kódfuttatást tesz lehetővé egy már kihasznált hiba a Nextcloudhoz kapcsolódó Collabora Online beépített CODE szerverében. A CISA október 23-án vette fel a kihasznált sebezhetőségek listájára; az amerikai szövetségi szervek javítási határideje október 26.
Fontos
Aktívan kihasznált, kritikus: CVSS 9.2
Nem minden Collabora Online telepítés érintett
A CVE-2026-110447 a Nextcloud alkalmazásaként működő richdocumentscode 26.4.303 előtti verzióit érinti. Az önálló Collabora Online szerverekben nincs jelen ez a sebezhetőség: a leírás kifejezetten a beépített CODE szervert használó telepítést nevezi meg.
A hiba a proxy.php fájlban található, és akkor tesz lehetővé távoli kódfuttatást, amikor a CODE szerver nem fut. Ilyen helyzet például a termék újraindítását követően állhat elő.
Szeptemberben és októberben is visszaéltek vele
Az NVD leírása szerint 2026 szeptemberében és októberében már kihasználták a sérülékenységet. A CISA nyilvántartása ugyancsak aktív kihasználást jelez, tehát nem pusztán egy elméleti támadási lehetőségről van szó.
A CVSS szerinti műszaki súlyosság 9,2, ami kritikus besorolást jelent. Ez a pontszám a hiba súlyosságát mutatja; a tényleges visszaélést a kihasználásról szóló adatok támasztják alá.
A CISA a gyártói intézkedések alkalmazását írja elő
A CISA a gyártó útmutatása szerinti kockázatcsökkentő intézkedéseket írja elő, és minden érintett rendszer internetes kitettségének értékelését kéri. Ha nincs elérhető védekezési lehetőség, a termék használatának megszüntetését jelöli meg.
Az október 26-i határidő az amerikai szövetségi szerveknek előírt javítási határidő, nem a magyar üzemeltetőkre vonatkozó kötelezettség. A CISA előírása a saját, kockázatalapú frissítési és kezdeti igazságügyi informatikai vizsgálati útmutatásainak követésére is kitér.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum