ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, 23 Ekim 2026’da Nextcloud içinde çalışan Collabora Online yerleşik CODE sunucusundaki bir komut enjeksiyonu açığını (CVE-2026-110447) Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi. Açık, Collabora Online projesinin 14 Ekim’de yayımladığı güvenlik duyurusunda kritik olarak sınıflandırılmış ve richdocumentscode uygulamasının 26.4.303 sürümünde kapatılmıştı.
Ne oldu
Collabora Online’ın GitHub güvenlik duyurusuna (GHSA-g3vx-3m76-fghh) göre açık, Nextcloud’a belge düzenleme yeteneği kazandıran “Collabora Online – Built-in CODE Server” uygulamasının proxy.php bileşeninde. Kimlik doğrulaması gerektirmeyen bir istek, web sunucusu kullanıcısı yetkisiyle işletim sistemi komutu çalıştırabiliyor (CWE-78). Duyuru, saldırının yalnız yerleşik CODE sunucusu çalışmıyorken işe yaradığını belirtiyor. Açığa CVSS 4.0 ölçeğinde 9,2 puan verildi; bildiren kişi duyuruda “wwwshellcodeit” kullanıcı adıyla geçiyor.
CISA’nın KEV kaydı ise açığın sahada kullanıldığına dair kanıt bulunduğunu söylüyor; kayıt tarihi 23 Ekim, ABD federal kurumları için düzeltme son tarihi 26 Ekim. Fidye yazılımı kampanyalarında kullanımı “bilinmiyor” olarak işaretli. Collabora’nın kendi duyurusunda istismar ifadesi yok; istismar bilgisi CISA KEV kataloğundan geliyor.
Kimleri etkiler
Nextcloud kullanan ve belge düzenleme için ayrı bir Collabora sunucusu kurmak yerine Nextcloud uygulama mağazasındaki yerleşik CODE paketini yükleyen kurumlar. Paket ayrı bir sunucu gerektirmediği için kurulumu kolay bir seçenek. Duyuruya göre bağımsız Collabora Online sunucuları etkilenmiyor.
Dikkat çeken nokta, uygulamayı devre dışı bırakmanın yeterli olmaması: duyuru, korunmak için uygulamanın 26.4.303 ya da üstüne güncellenmesini ya da tamamen kaldırılmasını istiyor. Desteği bitmiş Nextcloud sürümlerinde (29 ve öncesi) ise ya Nextcloud’un kendisi güncellenmeli ya da uygulama kaldırılmalı.
Üretici ne öneriyor
Collabora’nın önerisi açık: richdocumentscode uygulamasını 26.4.303 ya da üstüne güncelleyin; güncelleme yapılamıyorsa uygulamayı kaldırın. CISA, KEV kaydında üreticinin talimatlarının uygulanmasını, bu mümkün değilse ürünün kullanımının sonlandırılmasını ve her varlığın internete açıklığının değerlendirilmesini istiyor. Açık sahada kullanıldığı için, güncelleme öncesinde sunucunun ele geçirilmiş olma olasılığı da ayrıca değerlendirilmeli.
Duyurunun tamamı ve etkilenen sürüm bilgisi yan sütundaki bağlantıda; KEV kaydının ayrıntıları CISA kataloğunda.
