แจ้งเตือนช่องโหว่การแทรกคำสั่งควบคุมระบบ (Command Injection) ใน Collabora Collabora Online – Built-in CODE Server (CVE-2026-110447)

รายละเอียดช่องโหว่ (CISA KEV & Threat Intelligence)

สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐาน (CISA) ได้เพิ่มช่องโหว่ CVE-2026-110447 ในผลิตภัณฑ์ Collabora Collabora Online – Built-in CODE Server ลงในบัญชี Known Exploited Vulnerabilities (KEV) โดยมีรายละเอียดดังนี้:

Collabora Collabora Online – Built-in CODE Server when used within the NextCloud platform contains an OS การแทรกคำสั่งควบคุมระบบ (การแทรกคำสั่งควบคุมระบบ (Command Injection)) vulnerability that allows for การประมวลผลโค้ดทางไกลโดยไม่ได้รับอนุญาต (การประมวลผลโค้ดทางไกลโดยไม่ได้รับอนุญาต (RCE) - RCE) when the CODE server isn't running.

หมายเหตุเพิ่มเติม: https://help.nextcloud.com/t/to-collabora-built-in-user-update-asap/250516 ; https://github.com/CollaboraOnline/online/security/advisories/GHSA-g3vx-3m76-fghh ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-110447