استغلال ثغرة حرجة في تطبيق Collabora Online لـ Nextcloud
الثغرة CVE-2026-110447 تسمح بتنفيذ أوامر عن بُعد في إصدارات richdocumentscode قبل 26.4.303، والتوصية بالترقية فورًا أو إزالة التطبيق.
حذّرت شركة Collabora من استغلال ثغرة حرجة لتنفيذ الأوامر عن بُعد في تطبيق Collabora Online - Built-in CODE Server (richdocumentscode) الخاص بمنصة Nextcloud، وفقًا لما نشرته bleepingcomputer.com. الثغرة تحمل المُعرّف CVE-2026-110447 وتؤثر على إصدارات التطبيق السابقة للإصدار 26.4.303.
تقع الثغرة في آلية تشغيل خادم Collabora المدمج، وتتمثل الهجمات في إرسال طلب خبيث إلى نقطة النهاية proxy.php ما يؤدي إلى حقن أوامر على مستوى نظام التشغيل. ولا يتطلب الاستغلال أي مصادقة أو تفاعل من المستخدم، لكنه يحتاج إلى توقف خادم CODE المدمج.
نُشرت النشرة الأمنية والمُعرّف CVE في 14 أكتوبر 2026، بعد أن جرى إصلاح الثغرة في 9 سبتمبر وإصدار النسخة 26.4.303 في 11 سبتمبر. وأوصى الخبراء مسؤولي الأنظمة بالترقية إلى الإصدار 26.4.303 أو أحدث، أو إزالة التطبيق من الخادم.
وقالت Nextcloud إن Collabora أبلغت عن الثغرة في منتصف سبتمبر، وإن تحديثًا أصبح متاحًا عبر متجر التطبيقات. وأرجعت Collabora سبب التأخير في الإعلان بصورة أساسية إلى تراكم عمليات معالجة تقارير CVE في GitHub. وكان مسؤولو أنظمة قد أبلغوا عن هجمات على عدة نقاط نهاية في 10 سبتمبر، ونُشر تحذير مجتمعي في 3 أكتوبر يحث على التحديث فورًا.
سياق أوسع
يأتي هذا في وقت ارتفع فيه متوسط الفاصل الزمني بين الإصلاحات العامة ونشر تقارير CVE إلى 39 يومًا في أغسطس 2026، مقارنة بـ 5.1 أيام في يناير، وفقًا لشركة Second Security.
أسئلة سريعة
ما هو الإصدار الذي يصلح ثغرة CVE-2026-110447؟
ينصح مسؤولو الأنظمة بالترقية إلى الإصدار 26.4.303 أو أحدث من richdocumentscode، أو إزالة التطبيق.
هل يتطلب استغلال الثغرة مصادقة؟
لا، لا يحتاج الاستغلال إلى أي مصادقة أو تفاعل من المستخدم، لكنه يتطلب أن يكون خادم CODE المدمج متوقفًا.
متى نُشرت النشرة الأمنية؟
نُشرت النشرة والمُعرّف CVE في 14 أكتوبر 2026.