Kerngegevens
- Leverancier
- Collabora
- Soort software
- –
- Getroffen versies
- Collabora Online – Built-in CODE Server voor 26.4.303
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Collabora Online – Built-in CODE Server 26.4.303
- CVE gepubliceerd
- 14 oktober 2026
- Op de KEV-lijst sinds
- 23 oktober 2026
- Gepubliceerd op LekkenRadar
- 23 oktober 2026
- Laatst gewijzigd bij NVD
- 23 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de Built-in CODE Server van Collabora Online, de app richdocumentscode voor Nextcloud, zit een fout in het bestand proxy.php. Via die fout kan een aanvaller besturingssysteemcommando's laten uitvoeren op de server. Dat kan als de CODE-server op dat moment niet draait, bijvoorbeeld na een herstart van het product. Het lek wordt actief misbruikt: volgens de gegevens gebeurde dat in september en oktober 2026, en sinds oktober 2026 staat het op de lijst van actief misbruikte lekken (KEV).
Wie loopt risico?
Je loopt risico als je Nextcloud gebruikt met de Built-in CODE Server (richdocumentscode) in een versie voor 26.4.303. Een aanvaller hoeft daarvoor niet in te loggen en kan het lek via het netwerk misbruiken. Standalone Collabora Online-servers zijn niet getroffen, alleen deze variant met de ingebouwde CODE Server.
Wat moet je doen?
Controleer of je de Built-in CODE Server gebruikt
Kijk in je Nextcloud-omgeving of de app richdocumentscode (Collabora Online – Built-in CODE Server) is geïnstalleerd en welke versie dat is. Een losstaande Collabora Online-server is niet getroffen.
Werk bij naar 26.4.303 of hoger
Update de Built-in CODE Server naar versie 26.4.303 of hoger. Dat is de versie waarin het lek is opgelost.
Kijk of er sporen van misbruik zijn
Omdat het lek al in september en oktober 2026 werd misbruikt, is het verstandig om je server na te lopen op ongebruikelijke activiteit, zeker als hij recent is herstart. Laat dit bij twijfel door je beheerder of beveiligingsspecialist doen.
Beperk de blootstelling als bijwerken nog niet kan
Kun je nog niet updaten, volg dan het advies van Collabora en Nextcloud. Zorg er ook voor dat de server zo min mogelijk vanaf internet bereikbaar is.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een OS-commando-injectie (CWE-78) in proxy.php van de Collabora Online Built-in CODE Server (richdocumentscode) voor Nextcloud. De fout is te misbruiken als de CODE-server niet draait, bijvoorbeeld na een herstart. Een aanvaller kan hierdoor op afstand willekeurige commando's op het onderliggende systeem uitvoeren. De aanvalsroute is het netwerk en er is geen authenticatie of gebruikersinteractie nodig. De CVSS 4.0-score van 9,2 komt van de CNA. Het lek is een ander lek dan CVE-2025-66208 en is verholpen in versie 26.4.303.
CVSS-vector (versie 4.0, basisscore 9,2, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-78 · Onjuiste neutralisatie van speciale elementen in OS-commando's (OS-commando-injectie)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,2%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 23 oktober 2026
- Deadline van CISA
- 26 oktober 2026
- Gebruikt door ransomwaregroepen
- Niet bekend