Выключенное расширение Nextcloud может по-прежнему пропускать команды злоумышленников. 23 октября агентство CISA внесло уязвимость CVE-2026-110447 в каталог реально эксплуатируемых ошибок. Проблема затрагивает Collabora Online – Built-in CODE Server, компонент для редактирования офисных документов в облаке Nextcloud. Уязвимость получила критическую оценку 9,2 балла по шкале CVSS 4.0.
Ошибка обнаружена в приложении richdocumentscode версий до 26.4.303. Через файл proxy.php внешний запрос способен внедрить команду операционной системы, которую сервер выполняет с правами учётной записи веб-сервера. Для нападения не нужны пароль, авторизация или действия пользователя, но требуется определённое состояние службы Collabora.
Уязвимый код срабатывает только тогда, когда встроенный CODE Server не запущен, например, сразу после перезапуска контейнера, обновления или сбоя. Такой узкий момент не делает брешь безопасной. При попытке запустить остановленный сервер приложение передаёт недостаточно проверенные данные запроса в системную команду, создавая возможность для атаки.
О реальных взломах администраторы сообщили ещё 11 сентября, опубликовав журналы запросов, начавшихся 10 сентября. Злоумышленники обращались к proxy.php, маскировали опасные символы и запускали закодированные команды. На нескольких серверах обнаружили вредоносные PHP-файлы, позволявшие управлять системой через HTTP-запросы.
На одном из пострадавших серверов атакующий использовал такой файл для поиска хранилищ паролей и криптовалютных кошельков. В запросах фигурировали файлы KeePass, данные Bitwarden и 1Password, а также каталоги Bitcoin и Ethereum. В изученных журналах не нашли явных команд на выгрузку информации, поэтому факт похищения данных не установлен. Наблюдения ограничены доступными журналами.
Разработчики подтвердили, что простое отключение richdocumentscode не закрывает доступ к уязвимому proxy.php. Для устранения ошибки нужно установить версию 26.4.303 или полностью удалить приложение. Обновление также не убирает уже созданные веб-шеллы. Администраторам заражённых систем рекомендовали искать оставшиеся PHP-файлы с именами, начинающимися на shx.
Проблема касается именно встроенного CODE Server, который Nextcloud запускает локально. Самостоятельные серверы Collabora Online, установки через Docker и внешние сервисы редактирования документов этой уязвимости не подвержены, если уязвимое расширение не установлено. Для устаревших выпусков Nextcloud 29 и ниже разработчики отдельно советуют обновить платформу или удалить опасное расширение.
Исправленная сборка 26.4.303 была доступна ещё в сентябре, а идентификатор CVE опубликовали лишь 14 октября. После включения проблемы в каталог CISA установила для затронутых федеральных ведомств США срок устранения до 26 октября. Помимо обновления, агентство требует учитывать рекомендации разработчика и проверить инфраструктуру на следы взлома.