Уязвимость Collabora CODE позволила взламывать серверы Nextcloud

Злоумышленники использовали критическую уязвимость CVE-2026-110447 в приложении Collabora Online — Built-in CODE Server для Nextcloud, чтобы размещать веб-шеллы на серверах. Ошибка затрагивает пакет richdocumentscode во всех версиях до 26.4.303; Collabora выпустила исправление 11 сентября, а 14 октября опубликовала бюллетень безопасности.

Первые сообщения администраторов о компрометации появились в GitHub. В журналах двух серверов первого заявителя были зафиксированы запросы 10 и 11 сентября, а все его установки работали на версии 26.4.302. CVE описывает уязвимость как эксплуатировавшуюся в реальных атаках в сентябре и октябре 2026 года.

Как работает атака

Built-in CODE Server скачивает Collabora Online Development Edition и запускает её на том же сервере, где работает Nextcloud. Такой режим нужен для Nextcloud Office без отдельного сервера Collabora, однако в описании приложения он обозначен как вариант для локального тестирования, личного использования или небольших команд.

Скрипт proxy.php запускает локальный сервер CODE, когда приходит запрос, а сервис ещё не работает. В версиях до 26.4.302 текст запроса, включая путь, попадал в команду Bash в двойных кавычках. Конструкции вида $(...) при этом интерпретировались оболочкой, что позволяло выполнить переданную команду с правами учётной записи веб-сервера.

Эксплуатация возможна только в момент, когда локальный сервер CODE не запущен: например, при перезагрузке контейнера, обновлении или сбое. Скрипт запускается веб-сервером напрямую из каталога приложения и не загружает код Nextcloud.

Что нашли администраторы

Атакующие декодировали однострочный PHP-веб-шелл в каталог приложения и пытались передать результат команды uname -a на webhook.site. На одном из скомпрометированных серверов затем искали файлы *.kdbx, wallet.dat и keystore.json, а также каталоги и имена, связанные с Bitwarden, 1Password и криптокошельками.

В изученных запросах не обнаружили команд архивирования, копирования или выгрузки файлов. Однако данные, доступные учётной записи веб-сервера, следует считать потенциально раскрытыми. Другие администраторы нашли веб-шелл после срабатывания проверки целостности Nextcloud и получили уведомления о неудачных попытках sudo от имени веб-серверной учётной записи. Признаков получения root-доступа в опубликованных отчётах нет.

Какие действия нужны

Collabora подчёркивает, что отключить приложение недостаточно: richdocumentscode необходимо обновить до версии 26.4.303 или удалить. Автономные серверы Collabora Online не затронуты, как и установки, где используется только Nextcloud Office richdocuments с внешним сервером Collabora — в Docker, из Linux-пакета или у хостинг-провайдера.

Для Nextcloud 29 и более старых версий обновление до 26.4.303 недоступно: эти версии достигли окончания жизненного цикла, поэтому требуется обновить сам Nextcloud либо удалить Built-in CODE Server. После обновления стоит проверить каталог apps/richdocumentscode на файлы вида shx*.php, а журналы доступа — начиная с 10 сентября — на обращения к proxy.php?status с маркерами %2e%2e, $( и ${IFS}.

Версия 26.4.402 от 24 сентября изменила запуск команды, передавая параметры по отдельности, но администраторы сообщали о проблемах с запуском сервера и открытием документов на части установок. В бюллетене Collabora в качестве исправленной версии указана именно 26.4.303. Для бизнеса практический шаг — немедленно инвентаризировать использование richdocumentscode, обновить или удалить приложение и провести проверку возможной компрометации данных, доступных веб-серверу.