نشرت Collabora في 14 أكتوبر 2026 نشرتها الأمنية عن ثغرة (CVE-2026-110447 بتقييم CVSS 4.0 عند 9.2) في تطبيق Collabora Online Built-in CODE Server المدمج في منصة Nextcloud، تتيح تنفيذ أوامر على الخادم دون تسجيل دخول. وتأتي النشرة بعد نحو شهر من صدور الإصلاح ومن أول طلب هجومي في سجلات مستخدم.
تصنف Collabora الثغرة بالحرجة، ويتمثل الخلل في حقن أوامر في نظام التشغيل (CWE-78) عبر ملف proxy.php في التطبيق، لينفذ الأمر بصلاحيات مستخدم خادم الويب. وتوضح النشرة أن الهجوم ينجح فقط حين لا يكون خادم CODE المدمج قيد التشغيل، كما يحدث بعد الترقية أو التعطل أو إعادة التشغيل.
يشمل التأثير كافة إصدارات التطبيق السابقة للإصدار 26.4.303، والذي يمثل الإصدار المصلح. وتنص النشرة على أن خوادم Collabora Online المستقلة غير متأثرة، وأن مجرد تعطيل التطبيق لا يكفي، بل يجب تحديثه إلى الإصدار 26.4.303 أو أحدث، أو حذفه بالكامل. ولا تذكر النشرة حلاً مؤقتاً، وتدعو مستخدمي Nextcloud 29 وما قبله، وهي إصدارات انتهى دعمها، إلى الترقية الفورية أو حذف التطبيق.
يحمل الإصدار 26.4.303 في متجر تطبيقات Nextcloud تاريخ 11 سبتمبر، وقد خلا سجل تغييراته من أي إشارة إلى إصلاح أمني، إذ اقتصر على الإشارة إلى وسم بناء خادم CODE.
وفي اليوم نفسه، فتح مستخدم يُدعى HeikoBw بلاغاً على منصة GitHub بعنوان “Security issue – Hack”، قال فيه إن عدة خوادم اخترقت عبر التطبيق، وإن أول طلب مهاجم في سجلاته كان بتاريخ 10 سبتمبر. وبحسب البلاغ، استخدمت الطلبات ترميزاً للمسارات وأوامر مموهة لإنشاء ملفات PHP باسم shx*.php تعمل كواجهات تحكم خبيثة (Webshell)، تتيح الوصول إلى كل ما يصل إليه حساب خادم الويب. وفي أحد الخوادم، بحث المهاجم عن ملفات إدارة كلمات المرور والمحافظ المشفرة، واتصلت الحمولات بموقع webhook.site عبر أداتي curl وwget، ولم يجد صاحب البلاغ في الطلبات التي راجعها أوامر أرشفة أو تسريب صريحة.
ولم تذكر نشرة Collabora ما إذا كان قد رصد استغلال فعلي، حيث يظل البلاغ والمنتدى المصدر لتلك التقارير. وتختلف هذه الثغرة عن الثغرة CVE-2025-66208 التي أصدرت Collabora نشرة بشأنها في 3 ديسمبر 2025 ضمن الملف ذاته، إذ تنص النشرة الجديدة على أن الإصلاح السابق لا يمنع استغلال الثغرة الحالية.
