CVE-2026-110447: Collabora Online 내장 CODE 서버 OS 명령 주입, KEV 등재와 26.4.303 미만 영향 범위

Collabora Online의 내장 CODE 서버(richdocumentscode)를 NextCloud 플랫폼 안에서 사용하고 있다면, CVE-2026-110447는 그 구성요소에 서버에서 명령이 실행될 수 있는 OS 명령 주입 결함이 있는지 확인해야 하는 사안입니다. 이 CVE는 CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 등재되었고, 공식 CVE 레코드에는 richdocumentscode 26.4.303 미만이 영향받는다고 적혀 있습니다. 같은 구성요소를 다룬 GitHub 이슈에는 침입을 겪었다는 운영자 보고도 게시되어 있습니다.

개요

CISA KEV 카탈로그는 이 CVE를 'Collabora Online - Built-in CODE Server OS Command Injection Vulnerability'로 적고, Collabora Online 내장 CODE 서버가 NextCloud 플랫폼 안에서 사용될 때 OS 명령 주입 결함이 존재한다고 설명합니다(CISA KEV 카탈로그). MITRE CVE 레코드의 Vulnrichment 항목에도 'CVE-2026-110447 added to CISA KEV'라는 문구가 남아 등재 사실이 레코드에 반영되어 있습니다(CVE-2026-110447 JSON 레코드). 같은 레코드는 richdocumentscode 26.4.303 미만 버전이 이 취약점의 영향 범위에 해당한다고 안내합니다.

CISA KEV 항목에는 등재일 2026-10-23과 대응 기한 2026-10-26이 기재되어 있고, 권고 조치로 벤더 지침에 따른 완화 조치 적용, 완화 조치를 제공할 수 없으면 제품 사용 중단을 제시합니다(CISA KEV 카탈로그). 즉 이 사안은 대응 기한이 날짜로 명시된 사안이며, 패치 외의 완화 수단이나 사용 중단까지 열어두라는 것이 KEV의 권고 구조입니다.

공식 등재와 별도로, CollaboraOnline/richdocumentscode 저장소 이슈 354번에는 자신이 다수의 Nextcloud 서버를 호스팅한다고 밝힌 운영자가 richdocumentscode, 즉 내장 CODE 서버를 경유한 성공적인 침입을 겪고 있다고 보고했습니다(GitHub 이슈 354). 보고에 붙은 웹 서버 로그의 요청 시각은 2026년 9월 10일이며, 해당 이슈에는 영향과 웹쉘 확인 내용이 함께 담겨 있습니다.

정리하면 이 취약점은 이론적 위험이 아니라 실제 침해 사례가 공개되고 정부가 악용 확인 목록에 올려 기한까지 지정한 단계입니다. 악용 사실의 1차 근거는 KEV 등재이고, GitHub 보고는 그 작동 방식을 보여주는 정황으로 읽는 편이 정확합니다.

영향 범위

• Collabora Online - Built-in CODE Server(richdocumentscode)를 NextCloud 플랫폼 안에서 사용하는 환경이 기본 대상입니다. CISA 등재 문구가 'NextCloud 플랫폼 안에서 사용될 때'를 조건으로 두고 있어, Nextcloud와 결합된 배포 여부가 판단 기준이 됩니다.
• 버전 경계는 CVE 레코드가 명시합니다. richdocumentscode 26.4.303 미만이 영향 범위에 해당하고, 26.4.303이 그 경계가 됩니다. 실침입 보고 환경에서 언급된 26.4.302도 26.4.303 미만이라 같은 경계 안의 버전입니다.
• 서버 측에서 임의 명령이 실행될 수 있다면 영향은 응용 계층에 머물지 않고 호스트 수준으로 확대될 수 있습니다. 다만 실제 저장 데이터까지 영향이 미치는지는 해당 환경의 침해 조사로 확인해야 하며, 이번 근거만으로는 단정할 수 없습니다.
• 보고자는 다수의 Nextcloud 서버를 함께 운영 중이었습니다. 인스턴스가 많으면 동일한 취약 구성요소를 그만큼 반복 보유하게 되므로, 영향 확인은 인스턴스 단위로 점검 범위를 넓혀 진행하는 것이 합리적입니다.
• KEV의 권고 구조를 그대로 적용하면, Nextcloud와 결합된 내장 CODE 서버를 운용하면서 벤더 지침으로 제공된 완화 조치를 받지 못한 환경은 패치와는 별도로 사용 중단까지 포함해 판단해야 하는 대상이 됩니다.

기술적 분석

취약점 유형은 OS 명령 주입입니다. CVE 레코드는 Collabora Online 내장 CODE 서버가 Nextcloud 플랫폼 안에서 사용될 때 proxy.php에서 발생하는 OS 명령 주입 결함으로 이 CVE를 설명합니다(CVE-2026-110447 JSON 레코드). CISA의 등재 문구와 같은 맥락에서, 이 결함이 있으면 공격자가 서버 측에서 임의 명령을 실행할 수 있는 경로가 열립니다. 문서 협업 구성요소가 서버 권한으로 명령에 도달할 수 있는 지점을 가진다는 점은, 응용 계층의 결함이 호스트 권한 수준의 영향으로 확대될 수 있음을 뜻합니다.

실침입 보고는 이 결함이 어떤 운영 조건에서 위협이 되는지를 보여줍니다. 이슈에 인용된 로그에는 139.28.18.122로 기록된 발신 IP와 2026년 9월 10자로 기록된 요청이 포함되어 있고, 운영자는 이를 richdocumentscode를 통한 침입으로 진술합니다(GitHub 이슈 354). 웹쉘 존재가 함께 보고되었다는 점은 명령 실행 이후 유지보수 단계까지 진행됐을 가능성을 시사합니다. 이 해석은 단일 운영자의 로그와 진술에 의존하므로, 정확한 침입 경로와 데이터 영향 범위는 공식 사고조사 보고서로 확인된 것이 아닙니다.

여기서 도출할 수 있는 조건부 판단은 두 가지입니다. 첫째, KEV 등재와 실침입 보고가 동시에 존재하는 상태에서는 공개 PoC의 유무와 무관하게 능동적 악용이 진행 중인 것으로 봐야 합니다. 이번 근거에서도 공개 PoC의 존재는 확인되지 않았지만, 그것이 대응 우선순위를 낮추는 근거는 되지 못합니다. 둘째, 침해 여부를 확인하는 작업은 확보된 보고의 형태에 맞춰 범위를 잡는 것이 자연스럽습니다. 실침입 보고에는 웹 서버 접근 로그의 요청 기록과 웹쉘 확인 내용이 함께 담겨 있으므로, 접근 로그 검토와 웹쉘·의심 파일 점검을 같은 확인 축으로 병행하는 것이 자료의 범위와 맞습니다.

확인되지 않은 사항

• CVE 레코드는 주입 지점을 proxy.php로 명시하지만, 그 안에서 어떤 파라미터가 명령 실행으로 이어지는지, 악용에 인증이 필요한지는 확보된 근거에 적혀 있지 않습니다. 따라서 메커니즘 서술은 proxy.php에서의 조건부 OS 명령 주입과 확인된 버전 경계 수준에 한정됩니다.
• 버전 경계는 richdocumentscode 26.4.303 미만으로 확인되지만, 배포 형태별 상세 업그레이드·구성 안내는 제작사 보안 권고로 별도 확인이 필요합니다.
• CVSS 점수 등 CVE 등급과 제작사 공식 보안 권고 본문이 근거에 포함되어 있지 않습니다. 운영 우선순위는 악용 확인 사실과 KEV 권고 기준으로 판단하되, 벤더 심각도는 별도 확인이 필요합니다.
• 실침입 상세(정확한 침해 경로, 데이터 영향 범위)는 운영자 1인의 보고에 기반하며 공식 사고조사 보고서로는 확인되지 않았습니다.

대응 방안

즉시 점검

• 보유 Nextcloud 자산 전체에서 richdocumentscode 기반 Collabora Online 사용 여부와 설치 버전을 대조하고, 각 인스턴스의 외부 노출 범위를 먼저 정리합니다. 26.4.303 미만 버전인지는 이 사안의 첫 번째 점검 항목입니다.
• 웹 서버 접근 로그를 검토합니다. 보고에 등장한 139.28.18.122와 2026년 9월 10일 시점은 단일 침입 보고에서 확인된 참고 IOC와 시점일 뿐이며, 이 IP만 차단하면 된다는 의미가 아닙니다.
• 웹루트와 문서 저장 영역에서 신규 생성되거나 수정된 스크립트·의심 파일을 생성 시각 기준으로 점검합니다. 웹쉘 흔적 보고가 있는 만큼 파일 무결성 점검을 로그 검토와 동시에 진행해야 합니다.
• richdocumentscode 구성요소에서 예상치 못한 프로세스나 명령 실행이 관찰되는지 모니터링합니다.
• 버전 확인과 패치 적용이 지연된다면, CISA KEV가 권고하는 순서대로 벤더 지침에 따른 완화 조치를 적용하고 마땅한 완화 조치가 없다면 내장 CODE 서버의 외부 접근 차단 또는 사용 중단까지 임시 조치로 검토할 수 있습니다. 이 조치는 패치 대체가 아니라 시간 벌기용입니다.

항구 조치

• richdocumentscode를 26.4.303 이상으로 업데이트하는 것이 해결 방향입니다. 배포 단위별 정확한 적용 방법은 Collabora 공식 보안 권고를 확인해 적용합니다.
• CISA KEV가 제시한 이 항목의 등재일은 2026-10-23, 대응 기한은 2026-10-26입니다(CISA KEV 카탈로그). KEV가 권고하는 벤더 지침에 따른 완화 조치 확인과 패치 적용 전후의 침해 흔적 점검은 우선순위를 따지기보다 병행해야 할 작업입니다.
• 패치 적용 전후로 웹쉘과 지속성 흔적 점검을 함께 수행합니다. 실침입 사례에서 웹쉘이 함께 보고된 만큼, 업데이트만으로 기존 침해 흔적이 사라지지 않습니다.
• Nextcloud 환경을 복수로 운영한다면, richdocumentscode 설치마다 패치 상태와 점검 범위를 자산별로 구분해 확인하는 방식은 이번 사안에서 유효한 점검 방법이 될 수 있습니다.

참고자료

• CVE-2026-110447 JSON record
• Security issue - Hack (richdocumentscode 26.4.302 실침입 보고)
• Known Exploited Vulnerabilities Catalog - CVE-2026-110447

함께 읽으면 좋은 글

• CVE-2026-121458: Instatic AI/MCP 콘텐츠 읽기 도구의 인가 누락, 무엇이 드러나나
• CVE-2025-61624: 포티넷 다중 제품 CLI 경로 순회 취약점, KEV 등재로 보는 점검 포인트
• CVE-2026-57853: DataGerry 서버 측 템플릿 인젝션 취약점 점검

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.