Nextcloud: web shell-uri printr-o vulnerabilitate în Collabora CODE

O vulnerabilitate critică în aplicația Collabora Online – Built-in CODE Server (richdocumentscode) pentru Nextcloud este exploatată pentru a instala web shell-uri pe servere. Vulnerabilitatea are identificatorul CVE-2026-110447: potrivit CERT.LV, are un scor CVSS de 9.2, permite executarea de comenzi ale sistemului de operare fără autentificare și este deja folosită în atacuri reale. The Hacker News și BleepingComputer relatează că pe serverele compromise au fost instalate backdoor-uri.

Cel mai important aspect pentru cei care administrează Nextcloud este cronologia: versiunea corectată este disponibilă din 11 septembrie, dar avertismentul și CVE-ul au apărut abia pe 14 octombrie. Potrivit BleepingComputer, atacurile începuseră deja la jumătatea lui septembrie.

Detalii tehnice

• Componenta: aplicația opțională Built-in CODE Server, care pornește un server Collabora integrat în Nextcloud. Vulnerabilitatea se află în mecanismul prin care aplicația pornește acest server, în fișierul proxy.php.
• Tipul: injecție de comenzi ale sistemului de operare (OS command injection). O cerere construită special către proxy.php execută comenzi arbitrare pe server, cu privilegiile procesului care servește Nextcloud.
• Condiții: nu sunt necesare autentificarea sau interacțiunea utilizatorului. Condiția necesară este ca serverul CODE integrat să nu ruleze, cum se întâmplă după o repornire, o actualizare sau o cădere.
• Versiuni afectate: richdocumentscode 26.4.302 și anterioare. Corectată: 26.4.303 și ulterioare.
• Neafectate, potrivit Collabora (citată de BleepingComputer): serverele Collabora Online instalate separat, instalările Docker și din pachete RPM/DEB și Nextcloud All-in-One.

Condiția serverului oprit nu trebuie subestimată: repornirile și actualizările sunt operațiuni de rutină, deci orice instanță cu aplicația vulnerabilă rămâne expusă la fiecare intervenție de întreținere.

Ce au făcut atacatorii

Informațiile despre atacuri provin din relatările mai multor administratori, adunate de BleepingComputer:

• primele atacuri împotriva mai multor servere datează din 10 septembrie;
• după obținerea accesului au fost încărcate web shell-uri PHP;
• web shell-urile au fost folosite pentru a căuta baze de date cu parole, fișiere ale managerelor de parole și portofele de criptomonede.

Unii utilizatori vorbesc și despre grupări ransomware care ar exploata vulnerabilitatea, dar BleepingComputer precizează că nu a putut confirma acest lucru. Sursele nu publică indicatori de compromitere, precum adrese IP sau numele fișierelor web shell.

Tehnicile MITRE ATT&CK care corespund lanțului descris sunt T1190 (Exploit Public-Facing Application), T1059.004 (Unix Shell), T1505.003 (Web Shell) și T1552.001 (Credentials In Files).

O corecție fără CVE timp de o lună

Cronologia reconstituită de BleepingComputer:

• 9 septembrie: corecția este introdusă în cod;
• 11 septembrie: apare versiunea 26.4.303;
• jumătatea lui septembrie: întreținătorii avertizează și încep atacurile;
• 3 octombrie: un avertisment al comunității cere actualizarea imediată, deoarece atacurile sunt în curs;
• 14 octombrie: sunt publicate buletinul de securitate, avertismentul pe GitHub și CVE-ul.

Nextcloud a declarat pentru BleepingComputer că a primit semnalarea de la Collabora la jumătatea lui septembrie și că a distribuit actualizarea prin magazinul de aplicații. A justificat așteptarea prin dorința de a le lăsa utilizatorilor timp să actualizeze, adăugând că nu a observat o exploatare pe scară largă. Collabora, în schimb, pune întârzierea mai ales pe seama restanțelor GitHub în atribuirea CVE-urilor, agravate de numărul tot mai mare de rapoarte generate cu IA.

Fără un identificator CVE, scannerele și procesele de gestionare a vulnerabilităților nu au semnalat problema. Cine actualizează aplicațiile Nextcloud doar pe baza avertismentelor oficiale a rămas expus timp de săptămâni.

Impactul pentru companiile europene

Nextcloud este foarte răspândit în Europa, inclusiv printre instituțiile publice și companiile care preferă să își păstreze fișierele pe propriile servere. Un web shell pe aceste servere oferă acces la documentele partajate și la fișierele de configurare și poate deveni punctul de plecare pentru deplasarea în rețeaua internă.

Pentru entitățile care intră sub incidența NIS2, dacă se descoperă o compromitere trebuie evaluat dacă incidentul este semnificativ. În Italia, în acest caz, notificarea trebuie trimisă către CSIRT Italia în termenele prevăzute. Dacă pe server există date personale, iar în sănătate date medicale, se aplică și obligațiile GDPR privind încălcarea securității datelor.

Ce să faci acum

1. Verifică dacă folosești aplicația: caută richdocumentscode printre aplicațiile instalate. Dacă Collabora rulează pe un server separat, prin Docker sau pachete, ori dacă folosești Nextcloud All-in-One, potrivit Collabora nu ești afectat.
2. Actualizează la 26.4.303 sau ulterioară. Dacă nu ai nevoie de aplicație, elimin-o: producătorul avertizează că dezactivarea nu este suficientă.
3. Caută urme de compromitere începând cu 10 septembrie. Actualizarea nu elimină un web shell deja instalat:
   • în jurnalele serverului web, verifică cererile către proxy.php al aplicației (dosarul apps/richdocumentscode/), mai ales după reporniri și actualizări;
   • caută fișiere PHP care nu fac parte din Nextcloud în dosarul instalării și în cele în care serverul web poate scrie și folosește verificările de integritate ale Nextcloud (occ integrity:check-core și occ integrity:check-app);
   • verifică procesele și conexiunile de ieșire neobișnuite ale utilizatorului serverului web.
4. Dacă găsești urme: izolează serverul și schimbă credențialele pe care le conține, începând cu baza de date și serviciile conectate din config.php. Consideră compromise și fișierele cu parole și secretele salvate pe server sau în spațiul utilizatorilor. Apoi evaluează obligațiile de notificare.
5. Nu te baza doar pe CVE-uri: pentru aplicațiile expuse pe internet, urmărește și canalele producătorului (forum, note de versiune, magazinul de aplicații), care în acest caz au avertizat cu săptămâni înainte.

Cum ajută ARXDOME

Pe calculatoarele și serverele cu agentul ARXDOME, ARX Sentry verifică integritatea fișierelor din dosarele stabilite: dacă incluzi dosarele Nextcloud, apariția unor fișiere PHP noi devine un eveniment de analizat. ARX Shield arată vulnerabilitățile deschise pentru fiecare mașină, evidențiindu-le pe cele deja exploatate, și permite izolarea din rețea a unei mașini suspecte. ARX Expose arată ce servicii și produse ale companiei tale sunt vizibile de pe internet.

Ultima actualizare: 15 octombrie 2026