Collabora CODE în Nextcloud: CVE-2026-110447, acum în KEV

Ce este confirmat

CISA a inclus CVE-2026-110447 în KEV pe 23 octombrie, descriind o injectare de comenzi de sistem în Built-in CODE Server folosit în platforma Nextcloud; am verificat direct în feed-ul KEV. The Hacker News relatează, pe baza avizului Collabora (GHSA-g3vx-3m76-fghh), că defectul se află în scriptul proxy al serverului CODE integrat: date din cerere ajungeau într-o comandă de shell folosită la pornirea serverului local de documente. Comenzile rulează cu contul serverului web, nu ca root.

Sunt afectate versiunile richdocumentscode anterioare lui 26.4.303. Sunt afectate doar instalările Development Edition în modul integrat; serverele Collabora Online separate nu sunt afectate, la fel aplicația richdocuments (Nextcloud Office) fără componenta integrată. Defectul este accesibil doar când serverul local de documente nu rulează, de exemplu în timpul unei reporniri, actualizări sau căderi. Înregistrarea CVE spune, potrivit The Hacker News, că a fost exploatat în septembrie și octombrie 2026.

• ▸CISA — catalogul Known Exploited Vulnerabilities
• ▸CISA — un nou CVE adăugat în KEV (23 octombrie 2026)
• ▸The Hacker News — atacatori pun backdoor-uri pe servere Nextcloud prin CODE

Cronologie

• ▸20 august 2026: corecția este scrisă; 9 septembrie: este comisă. Nu era în 26.4.302, lansată pe 31 august.
• ▸10–11 septembrie: primele atacuri înregistrate în jurnalele unui administrator care găzduia mai multe servere, toate pe 26.4.302.
• ▸11 septembrie: apare 26.4.303, a cărei notă de lansare nu menționează o corecție de securitate.
• ▸14 septembrie: o tentativă împotriva unui server deja pe 26.4.303 nu creează fișiere noi.
• ▸3 octombrie: un mesaj pe forumul comunității Nextcloud avertizează că defectul e exploatat și că nu există CVE.
• ▸14 octombrie: avizul și CVE-ul sunt publicate. 23 octombrie: CVE-ul intră în KEV.

• ▸The Hacker News — cronologia raportată de administratori și Collabora

Ce au făcut atacatorii, potrivit administratorilor

The Hacker News citează trei administratori care au raportat problema pe GitHub. Atacatorii au scris un webshell în folderul aplicației, ceea ce le-a dat execuție de comenzi cu contul serverului web; pe un server au căutat depozite de credențiale și fișiere de portofele de criptomonede, iar o tentativă a încercat un apel către un serviciu public de webhook. Jurnalele revizuite nu arătau arhivare sau copiere de fișiere, dar administratorii spun că tot ce poate citi contul serverului web trebuie tratat ca posibil expus. Nu există rapoarte de acces root.

Nu se știe câte servere au fost compromise, cine este atacatorul și dacă au fost luate date. Un mentenant Collabora a spus, potrivit aceleiași surse, că problema afectează „doar” Development Edition în modul integrat și a cerut utilizatorilor să actualizeze și să șteargă fișierele de shell rămase. Versiunea 26.4.402, din 24 septembrie, a schimbat comanda de pornire, iar unii administratori au raportat probleme la pornire și au revenit la 26.4.303.

• ▸The Hacker News — activitatea după exploatare și declarațiile Collabora

Ce faci

• ▸Găsește toate instanțele Nextcloud, inclusiv cele ale echipelor și ale furnizorilor, și verifică dacă aplicația Built-in CODE Server (richdocumentscode) este instalată, chiar dacă e dezactivată.
• ▸Actualizează la 26.4.303 sau mai nou, ori elimină aplicația. Avizul Collabora spune că dezactivarea nu este suficientă.
• ▸Nextcloud 29 și mai vechi sunt ieșite din suport și nu pot instala 26.4.303; magazinul de aplicații le servește încă o versiune afectată. Actualizează Nextcloud sau elimină aplicația.
• ▸Dacă ai nevoie de editare de documente, ia în calcul un server Collabora Online separat, pe care sursele îl descriu ca neafectat.
• ▸Caută fișiere PHP neașteptate în folderul aplicației, inclusiv cu nume de tip shx*.php sub apps/richdocumentscode/. Actualizarea nu le șterge; Collabora cere eliminarea lor.
• ▸Revizuiește jurnalele serverului web cel puțin de la 10 septembrie pentru cereri neobișnuite către punctul de proxy al aplicației, mai ales cu conținut de cale malformat sau codificat, și caută tentative sudo ale contului serverului web. Indicatorii de rețea și hash-ul publicat sunt în relatarea The Hacker News.
• ▸Dacă găsești un webshell, tratează ca posibil expus tot ce citește contul serverului web (configurații, chei, parole de bază de date) și rotește secretele de pe server.

• ▸The Hacker News — remediere, detecție și indicatori

Închide alerta cu dovezi

Pentru fiecare instanță Nextcloud, păstrează versiunea Nextcloud, dacă richdocumentscode era instalată și în ce versiune, decizia (actualizare sau eliminare) cu data, rezultatul căutării de fișiere PHP neașteptate, perioada de jurnale revizuită și secretele rotite. Un termen KEV federal nu se aplică automat companiilor private, dar trei zile de la adăugare arată cât de urgent este.