Разбор индикаторов атаки на уязвимость CVE-2026-110447 в Collabora

Аналитик разобрал сетевые индикаторы эксплуатации CVE-2026-110447 в richdocumentscode: два IP-адреса (139.28.18.122 и 89.38.98.50), запросы к /apps/richdocumentscode/proxy.php?status и веб-шелл с хешем SHA-256 4b9fbd06…40562. Автор советует искать по структуре полезной нагрузки, а не блокировать адреса и webhook.site.

• Атаки 10–11 сентября шли с 139.28.18.122, попытка 14 сентября — с 89.38.98.50
• Колбэки уходили на webhook.site с идентификаторами 45060ed4… и 774cf5e1…
• Веб-шелл — однострочный PHP-файл, хеш SHA-256 4b9fbd06…40562
• Поиск по телу richdocumentscode дал 121 131 совпадение на 20 октября 2026 года