要対応 2026-10-24（土）配信

Collabora Online CODE サーバーにおける OS コマンドインジェクションの脆弱性

KEV

NextCloud プラットフォームに組み込まれた Collabora Online CODE サーバーにおいて、OS コマンドインジェクションの脆弱性が確認された。この脆弱性は、CODE サーバーが実行されていない状態において悪用が可能であり、リモートから任意のコードを実行される恐れがある。CISA の既知の脆弱性カタログ（KEV）に追加されており、実環境での悪用が確認されているため、極めて重大な脅威である。CISA は米国の連邦政府機関に、2026年10月26日までの対応を求めている。

なぜご自身の組織で確認すべきか悪用が確認された脆弱性であり、NextCloud等で本機能を利用している場合は速やかなバージョン更新が必要なため。

影響

遠隔の第三者によってサーバー上で任意の OS コマンドを実行され、システムの完全な制御を奪われたり、機密データが窃取されたりする可能性がある。

対応策

NextCloud 上の Collabora Online アプリを、ベンダーが提供する修正済みの最新バージョンへ速やかにアップデートすること。

ベンダーの公開情報: https://help.nextcloud.com/t/to-collabora-built-in-user-update-asap/250516

ベンダーの公開情報: https://github.com/CollaboraOnline/online/security/advisories/GHSA-g3vx-3m76-fghh

出典：https://nvd.nist.gov/vuln/detail/CVE-2026-110447

CVE-2026-110447 の経緯（4号）

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →