Collabora Online – Built-in CODE Server OS Command Injection Vulnerability

Indice de priorité CheckOps

8,3/10 Corriger sous 24 h

Gravité9,2

Probabilité7,3

Exploitation4/5

Gravité = CVSS. Probabilité = EPSS (FIRST). Exploitation = signaux publics : KEV, EUVD, rançongiciel, EPSS au-dessus de 10 %, accès sans compte.

EPSS · aujourd’hui 73,3 % +61,7 pts en 7 jours

CVSS 4.0 9,2 AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/

Exploitée depuis 11 jours 23/10/2026

Échéance CISA 26/10/2026 pour les agences fédérales américaines

Probabilité d’exploitation EPSS · FIRST

Probabilité EPSS (%)Percentile parmi toutes les CVE

Signaux d’exploitation 4 / 5

Catalogue KEV (CISA)23/10/2026
EUVD exploitée (ENISA)23/10/2026
Utilisée par des rançongicielsnon
EPSS au-dessus de 10 %73,3 %
Sans compte, par le réseauoui

Que faire

Corriger

Appliquer le correctif de l’éditeur dès qu’il est disponible.

Consigne de la CISA : Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

En attendant

Retirer le service d’internet ou en filtrer l’accès, surveiller les journaux et chercher des traces de compromission.

Éditeurs (CRA)

Faille exploitée dans votre produit : alerte précoce à l’ENISA sous 24 h, puis notification sous 72 h (article 14 du Cyber Resilience Act). Le CRA expliqué

Description ENISA EUVD

Collabora Online Built-in CODE Server before 26.4.303 (richdocumentscode), a Nextcloud app, allows remote code execution, as exploited in the wild in September and October 2026, a different vulnerability than CVE-2025-66208. This is an OS command injection in proxy.php when the CODE server isn't running (e.g., the product was recently restarted). The vulnerability is not present in standalone Collabora Online servers; only this deployment with CODE Server is affected.

Texte de la source, en anglais.

Produits touchés

Collabora Online - Built-in CODE ServerCollabora Online – Built-in CODE Server

Versions touchées

0 <26.4.303

Faiblesses (CWE)

CWE-78

Paquets open source OSV

Bibliothèques touchées selon OSV, avec les versions corrigées.

Chronologie

14/10/2026
Publication
23/10/2026
Exploitation signalée (ENISA)
23/10/2026
Ajout au catalogue KEV
26/10/2026
Échéance de correction CISA
29/10/2026
EPSS au plus haut : 73,3 %