ONLYOFFICE 10.0: Über 40 Sicherheitslücken geschlossen, KI kommt hinzu
Veröffentlicht am: 15.10.2026 um 14:24 Uhr | Redaktion boerse-global.de
ONLYOFFICE hat die Version 10.0 seiner Bürosoftware veröffentlicht, wie aus einem Bericht vom 13. Oktober 2026 hervorgeht. Das Update umfasst mehr als 40 Sicherheitsfixes für Online- und Desktop-Editoren, führt eine neu strukturierte modulare Anwendungsarchitektur ein und integriert erweiterte Funktionen für künstliche Intelligenz. Die Plattform zählt weltweit über 21 Millionen Nutzer.
Schließung hochriskanter Schwachstellen im Document Server
Im Fokus der Aktualisierung steht die Behebung zahlreicher Sicherheitslücken. Laut einem Bericht vom 14. Oktober 2026 führt der CVE-Katalog unter der Kennung CVE-2026-110385 eine hochriskante Schwachstelle zur entfernten Codeausführung (Remote Code Execution, RCE) im ONLYOFFICE Document Server, die mit einem CVSS-4.0-Wert von 8,7 bewertet wurde.
Das Problem betrifft alle Linux-Versionen vor Version 10.0. Der Angriff erfolgt über den Document Builder mittels unzureichend validierter XML-Converter-Instruktionen in der Funktion builder.SaveFile. Über ein doppeltes Element kann der Ausgabepfad überschrieben werden, was ein beliebiges Schreiben von Dateien unter dem Dienstkonto des Document Servers ermöglicht.
Durch das Überschreiben der Datei runtime.json lässt sich beliebiger Programmcode ausführen. Ein erfolgreicher Angriff setzt ein gültiges Inbound-JWT voraus. Der Fix erfolgte mit der Bereitstellung von Document Server 10.0 in der Woche ab dem 10. Oktober 2026. Bislang existiert kein öffentlicher Exploit, und es wurden keine Angriffe in freier Wildbahn verzeichnet.
Neben dieser Schwachstelle beseitigt Version 10.0 über 40 weitere Sicherheitsrisiken. Dazu gehören Cross-Site-Scripting-Lücken in der Funktion AI(), in Hyperlinks innerhalb von DOCX-Dateien und bei der Erstellung von KI-Assistenten.
Wer die Sicherheit seiner Bürosoftware verbessern möchte, findet in diesem kostenlosen Startpaket eine leistungsstarke und bewährte Lösung. Erfahren Sie, wie Sie alle wichtigen Office-Funktionen sicher und vollständig gratis nutzen können. Gratis Startpaket für kostenlose Office-Software sichern
Zudem wurden zwei Umgehungsmöglichkeiten der Makro-Sandbox samt Cookie-Zugriff, ein Autorisierungs-Bypass beim PDF-Druck, Pufferüberläufe bei OLE-Daten sowie Heap-Buffer-Overflows bei PDF-Bildmasken geschlossen.
Ebenfalls behoben sind Server-Side Request Forgery in Proxy- und WOPI-Endpunkten, Speicherlesefehler über Dateiformate wie DOC, DOCX, XLS oder XPS sowie OpenSSL-Schwachstellen. On-Premises-Installationen müssen manuell auf die neue Version aktualisiert werden; eine unabhängige Verifikation des Sicherheitseffekts durch Dritte liegt bislang nicht vor.
Modulares Konzept und Integration von KI-Diensten
Parallel zu den Sicherheitsmaßnahmen strukturiert ONLYOFFICE die Plattform um: Der bisherige Dienst DocSpace firmiert künftig unter dem Namen ONLYOFFICE Apps. Das System setzt auf vier Kernanwendungen – Files, Rooms, Forms und AI Agents –, die unter der AGPLv3 lizenziert sind.
Die Anwendung AI Agents unterstützt MCP-Server. In der Cloud-Umgebung sind diese Module standardmäßig aktiv, während sie auf eigenen Servern über einen einzelnen Befehl installiert werden können.
Die KI-Funktionen sind in einem separaten Beta-Modul gebündelt, das bei Bedarf manuell eingerichtet werden muss und aus den Open-Source-Basispaketen entfernt wurde. Es integriert Schnittstellen zu Modellen wie ChatGPT, Claude, Mistral, Google Gemini, Groq, xAI und DeepSeek sowie lokalen Instanzen über Ollama, LM Studio oder GPT4ALL.
Die Integration von KI-Systemen in den Büroalltag bringt neue technologische Möglichkeiten, aber auch komplexe rechtliche Anforderungen mit sich. Dieses kostenlose E-Book bietet einen kompakten Überblick über Pflichten und Fristen der aktuellen EU-Regelungen für Unternehmen. Kostenlosen Umsetzungsleitfaden zum EU AI Act herunterladen
Cloud-Anwender greifen über OpenRouter und ein spezielles Guthaben auf die Dienste zu, während selbst gehostete Server beliebige Modelle einbinden können, wodurch vertrauliche Daten im eigenen Netzwerk verbleiben. Auch mobile Apps bieten künftig KI-Unterstützung mit Grok und DeepSeek.
Neuerungen in den Desktop-Editoren und Office-Modulen
Die Desktop-Editoren basieren ab Version 10.0 auf einer vereinheitlichten Codebasis für Linux, Windows und macOS; Pakete für Snap, Flatpak und AppImage folgen später. Neu integriert wurden ein überarbeitetes Startfenster, Unterstützung für Odoo als Cloud-Anbieter sowie Plugins für Antidote, Curly und Salesforce.
Inhaltlich bringt das Update funktionale Erweiterungen über die gesamte Suite hinweg: Der PDF-Editor erhält Werkzeuge zur Schwärzung und Entfernung verborgener Metadaten sowie erweiterte Signaturfunktionen. Im Texteditor wurden Steuerungsoptionen für den Seitenumbruch und die kollaborative Bearbeitung ergänzt.
Das Tabellenkalkulationsmodul profitiert von einer getrennten Speicherung von Formatierungen und Nutzdaten zur Leistungssteigerung, während das Präsentationsprogramm neue Ansichten und Video-Exporte bereitstellt. Die Suite behält dabei die vollständige Kompatibilität zu Microsoft Office und OpenDocument bei.
