A CISA anunciou a inclusão de uma nova vulnerabilidade ao seu catálogo de Vulnerabilidades Conhecidamente Exploradas (KEV), após confirmar evidências de exploração em andamento. Identificada como CVE-2026-110447, a falha está presente no Collabora Online, especificamente no servidor interno CODE, e permite a injeção de comandos ao sistema operacional. A decisão de catalogar a vulnerabilidade reflete a preocupação com o potencial de comprometimento de ativos federais, que podem ser controlados totalmente por agentes maliciosos.
Nesse contexto, a diretiva operacional vinculante BOD 26-04, que prioriza atualizações de segurança com base em risco, estabelece requisitos claros de gerenciamento de vulnerabilidades para as agências do Executivo Federal (FCEB). A norma enfatiza a importância do catálogo KEV e determina que as agências federais concentrem esforços na correção rápida de vulnerabilidades de alto risco, como as listadas por CVEs no catálogo. Embora a obrigatoriedade se aplique apenas ao setor público federal, a CISA recomenda que organizações de todos os setores adotem práticas semelhantes de gestão baseada em risco.
O impacto da vulnerabilidade CVE-2026-110447 se estende a qualquer ambiente que utilize o Collabora Online com o CODE Server habilitado. Por permitir a execução de comandos arbitrários no sistema operacional, a falha pode ser explorada para obter controle total sobre o servidor comprometido, possibilitando a instalação de malware, exfiltração de dados ou uso do recurso para ataques laterais. Agências federais que dependem de soluções de colaboração em nuvem podem enfrentar interrupções operacionais e exposição de informações sensíveis, o que eleva a criticidade da situação.
Do ponto de vista técnico, a vulnerabilidade decorre de uma falha na validação de entradas enviadas ao módulo de execução de código do Collabora Online. Quando um atacante insere sequências especialmente formatadas, o servidor interpreta esses dados como comandos do sistema, executando-os sem restrições. A exploração não requer privilégios administrativos prévios, o que simplifica o vetor de ataque. Versões específicas do Collabora Online que incorporam o CODE Server sem patches de segurança são as mais vulneráveis, embora a CISA ainda não tenha divulgado a lista exata de versões afetadas. A mitigação recomendada inclui a aplicação imediata de atualizações fornecidas pelo fornecedor, a desativação do CODE Server quando não for essencial e a revisão de logs para identificar possíveis atividades suspeitas.
Em resposta a isso, a CISA orienta as agências a priorizar a aplicação de patches para CVE-2026-110447 e a conduzir verificações de comprometimento antes da correção, conforme previsto na BOD 26-04. Além disso, a agência mantém aberto o formulário de nomeação KEV, permitindo que terceiros submetam vulnerabilidades exploradas que ainda não constam no catálogo, desde que apresentem ID CVE, evidências de exploração e orientações de mitigação. A expectativa é que novas vulnerabilidades continuem a ser adicionadas ao catálogo, reforçando a postura de segurança do governo federal e incentivando a adoção de práticas de gerenciamento de risco em todo o setor. Fonte: CISA Advisories.