Nextcloud — платформа для самостоятельного хранения файлов и совместной работы, а Built-in CODE Server — опциональный модуль для редактирования документов без отдельного сервера Collabora. Злоумышленники как минимум с 10 сентября используют его уязвимость для выполнения команд без пароля.
Как проходит атака
Специальный запрос позволяет выполнить команду от имени веб-сервера без авторизации и действий пользователя. Атака возможна, только когда встроенный сервер документов остановлен: например, при перезапуске, обновлении или после сбоя.
Уязвимы версии richdocumentscode ниже 26.4.303. Исправление вышло 11 сентября. Отключить приложение недостаточно: его нужно обновить или удалить, говорится в бюллетене Collabora.
Читайте также
Что обнаружили на взломанных серверах
Три администратора сообщили о схожих атаках с установкой веб-шеллов — файлов для передачи команд серверу. На одной системе злоумышленники искали базы учётных данных, материалы менеджеров паролей и файлы криптовалютных кошельков.
В изученных запросах не нашли команд для копирования файлов наружу, однако доступные веб-серверу данные могли быть прочитаны или изменены. Ни один из отчётов не указывает, что атакующие получили права root. Масштаб взломов неизвестен, а сообщения о связи с операторами программ-вымогателей BleepingComputer подтвердить не смогло.
Кого проблема не затрагивает
По данным Collabora, уязвимость отсутствует в отдельных серверах Collabora Online, установках через Docker, RPM или DEB и в Nextcloud All-in-One. Одного Nextcloud Office недостаточно для атаки: на сервере должен быть Built-in CODE Server.
Что это значит
- Обновите Built-in CODE Server до 26.4.303 или новее либо удалите его. На Nextcloud 29 и старше нужно обновить платформу или удалить модуль.
- Проверьте журналы с 10 сентября: ищите запросы к
proxy.php?statusс%2e%2e,$(или${IFS}, неожиданные файлыshx*.phpи попытки запускаsudoот имени веб-сервера. Подробные индикаторы есть в отчёте The Hacker News. - При обнаружении следов атаки расследуйте сервер как скомпрометированный. Данные, доступные учётной записи веб-сервера, считайте потенциально раскрытыми или изменёнными.
Почему предупреждение появилось спустя месяц
Версия 26.4.303 вышла 11 сентября, а CVE-2026-110447 и бюллетень — 14 октября. Nextcloud объяснила задержку временем на обновление и отсутствием признаков массовых атак. Collabora назвала основной причиной очередь обработки CVE на GitHub.