Ranjivost u Collabora CODE aplikaciji omogućila upad u Nextcloud
Napadači su iskoristili kritičnu ranjivost CVE-2026-110447 u aplikaciji Collabora Online - Built-in CODE Server za postavljanje veb školova na Nextcloud servere. Problem pogađa paket richdocumentscode u verzijama pre 26.4.303; prvi zabeleženi napadi dogodili su se 10. septembra 2026, a Collabora je ispravku objavila 11. septembra i bezbednosno obaveštenje 14. oktobra.
Aplikacija lokalno preuzima i pokreće Collabora Online Development Edition, odnosno CODE, kako bi Nextcloud Office omogućio uređivanje dokumenata bez zasebnog Collabora servera. Njena prodajna stranica je opisuje kao rešenje za lokalno testiranje, ličnu upotrebu i male timove, a ne za produkcionu primenu.
Komanda se izvršava samo kada lokalni CODE server nije pokrenut
Ranjivost se nalazi u skripti proxy.php, koja pokreće lokalni CODE server kada stigne zahtev, a proces ne sluša. U izdanjima do 26.4.302, tekst iz zahteva, uključujući putanju, ugrađivao se u bash komandu sa dvostrukim navodnicima. Konstrukcije poput $(...) tada su mogle da navedu školjku da izvrši ubačenu komandu.
Zato je napad moguć tokom restarta kontejnera, nadogradnje, rušenja procesa ili drugog prekida rada lokalnog servera. Skripta se izvršava direktno iz direktorijuma aplikacije i ne učitava Nextcloud kod. Samostalni Collabora Online serveri nisu obuhvaćeni ovim propustom, kao ni instalacije koje koriste samo Nextcloud Office aplikaciju richdocuments uz Collabora server u Dockeru, iz Linux paketa ili kod hosting provajdera.
Tragovi napada i hitne mere
U prijavljenim incidentima napadači su preko zahteva za proxy.php?status upisivali jednolinijski PHP veb škol u direktorijum aplikacije. Takav fajl omogućava izvršavanje komandi sa pravima naloga veb servera. Pronađena su imena poput shrf4645.php, shxa35d0.php i drugih obrazaca shx*.php.
Jedan od prijavljenih napada zatim je tražio skladišta akreditiva i kripto-novčanike, uključujući datoteke sa nastavcima .kdbx, wallet.dat i keystore.json. Prijave ne pokazuju sticanje administratorskih, odnosno root prava, niti komande za arhiviranje i iznošenje podataka. Ipak, sadržaj koji je nalog veb servera mogao da čita treba smatrati potencijalno izloženim.
Nadogradnja ili uklanjanje, ne samo isključivanje
Collabora izričito navodi da isključivanje aplikacije ne otklanja rizik. Potrebno je nadograditi richdocumentscode na 26.4.303 ili noviju verziju, ili aplikaciju ukloniti. Ispravljene verzije zahtevaju Nextcloud 30 ili noviji; korisnici Nextcloud 29 i starijih, koji su van životnog ciklusa, treba da nadograde Nextcloud ili uklone ugroženu aplikaciju.
Nakon nadogradnje potrebno je potražiti fajlove shx*.php, počevši od direktorijuma apps/richdocumentscode, i pregledati pristupne logove od najmanje 10. septembra. Posebnu pažnju zahtevaju zahtevi za proxy.php?status čija putanja sadrži %2e%2e, $( ili ${IFS}, kao i neuspešni pokušaji sudo komandi naloga veb servera. Poslovni zaključak je da timovi bezbednosti treba odmah da popišu način na koji koriste Collabora, zakrpe ili uklone Built-in CODE Server i procene obim podataka dostupnih kompromitovanom nalogu.