Wprowadzenie do problemu / definicja
Bezpieczeństwo platform do współpracy nad dokumentami zależy nie tylko od samego systemu głównego, ale również od jakości i odporności zintegrowanych dodatków. Najnowsze incydenty pokazują, że krytyczna luka zdalnego wykonania poleceń w komponencie Collabora Online może zostać wykorzystana do przejęcia kontroli nad serwerami Nextcloud i osadzenia trwałego dostępu dla napastnika.
Problem dotyczy aplikacji Collabora Online – Built-in CODE Server, wykorzystywanej jako zintegrowany moduł edycji dokumentów w środowiskach Nextcloud. W praktyce oznacza to, że podatny element może stać się punktem wejścia do całej infrastruktury współdzielącej pliki i dane organizacji.
W skrócie
Podatność oznaczona jako CVE-2026-110447 dotyczy aplikacji richdocumentscode w wersjach wcześniejszych niż 26.4.303. Błąd umożliwia wstrzyknięcie poleceń systemowych przez endpoint proxy.php, co może prowadzić do pełnego wykonania komend po stronie serwera.
- atak nie wymaga uwierzytelnienia,
- atak nie wymaga interakcji użytkownika,
- skuteczność eksploatacji zależy od tego, czy wbudowany serwer CODE jest zatrzymany,
- w zaobserwowanych incydentach instalowano webshelle PHP i prowadzono kradzież danych.
Kontekst / historia
Zgłoszenia administratorów wskazują, że aktywne próby wykorzystania luki rozpoczęły się już w połowie września 2026 roku. Pierwsze sygnały o nadużyciach pojawiały się od 10 września, podczas gdy poprawka została przygotowana 9 września, a wydanie zawierające naprawę, czyli wersję 26.4.303, opublikowano 11 września 2026 roku.
Formalne informacje dotyczące podatności, w tym publiczny biuletyn bezpieczeństwa i identyfikator CVE, pojawiły się dopiero 14 października 2026 roku. To opóźnienie miało istotne znaczenie operacyjne, ponieważ wiele organizacji uzależnia priorytetyzację działań od oficjalnych oznaczeń i katalogów podatności.
Warto podkreślić, że problem nie obejmuje wszystkich wdrożeń Collabora Online. Według dostępnych informacji zagrożone były wyłącznie instalacje korzystające z opcjonalnego, wbudowanego serwera CODE jako aplikacji dla Nextcloud. Osobne wdrożenia Collabora Online, instalacje kontenerowe, pakiety RPM i DEB oraz środowiska Nextcloud All-in-One nie były objęte tą konkretną luką.
Analiza techniczna
Istotą problemu jest podatność typu OS command injection w mechanizmie uruchamiania wbudowanego serwera Collabora przez aplikację richdocumentscode. Odpowiednio spreparowane żądanie wysłane do endpointu proxy.php może doprowadzić do wykonania poleceń systemowych na hoście.
Warunek eksploatacji jest nietypowy, ale bardzo praktyczny. Atak jest możliwy wtedy, gdy wbudowany serwer CODE znajduje się w stanie zatrzymania. Taki stan może pojawić się po restarcie systemu, po aktualizacji, po awarii procesu lub w krótkim oknie niedostępności usługi. Z punktu widzenia obrońcy oznacza to, że nawet środowisko działające na co dzień stabilnie może stać się podatne w kluczowych momentach operacyjnych.
Brak potrzeby uwierzytelnienia znacząco zwiększa poziom ryzyka. Napastnik nie musi przejmować konta, omijać mechanizmów MFA ani stosować socjotechniki. Jeżeli podatny komponent jest osiągalny z sieci, luka może zostać wykorzystana bezpośrednio.
Zaobserwowane działania po uzyskaniu wykonania poleceń wskazują na typowy scenariusz post-exploitation. Najpierw implantowana jest powłoka webowa PHP, która zapewnia trwały dostęp. Następnie atakujący prowadzą rekonesans lokalny i poszukują:
- plików konfiguracyjnych,
- sekretów aplikacyjnych,
- baz haseł i artefaktów menedżerów haseł,
- portfeli kryptowalut,
- innych danych umożliwiających eskalację dostępu.
Z perspektywy obronnej ważne jest również to, że samo wyłączenie aplikacji nie musi oznaczać pełnego usunięcia ryzyka. Jeśli komponent pozostaje obecny w środowisku bez aktualizacji lub bez całkowitego usunięcia, organizacja nadal może pozostawać narażona.
Konsekwencje / ryzyko
Skutki skutecznego ataku mogą być bardzo poważne, ponieważ podatność prowadzi bezpośrednio do zdalnego wykonania poleceń na serwerze aplikacyjnym. Taki poziom dostępu otwiera drogę do pełnej kompromitacji systemu i dalszych działań w infrastrukturze.
- instalacja backdoorów i webshelli,
- kradzież danych uwierzytelniających i sekretów,
- ruch lateralny do kolejnych systemów,
- modyfikacja lub exfiltracja danych z Nextcloud,
- przygotowanie środowiska pod sabotaż lub atak ransomware.
Szczególnie zagrożone są organizacje udostępniające Nextcloud publicznie, przechowujące w nim poufne dokumenty oraz integrujące tę platformę z innymi usługami wewnętrznymi. W takich przypadkach kompromitacja jednego komponentu może doprowadzić do naruszenia znacznie szerszego obszaru środowiska IT.
Rekomendacje
Najważniejszym krokiem jest natychmiastowa aktualizacja aplikacji richdocumentscode do wersji 26.4.303 lub nowszej. Jeżeli organizacja nie korzysta z wbudowanego serwera CODE, bezpieczniejszym rozwiązaniem może być całkowite usunięcie tego komponentu.
- przeprowadzić inwentaryzację instancji Nextcloud pod kątem obecności richdocumentscode,
- zweryfikować logi HTTP i aplikacyjne pod kątem nietypowych żądań do proxy.php,
- sprawdzić system plików pod kątem nieautoryzowanych plików PHP i webshelli,
- przeanalizować sekrety, konta usługowe i pliki konfiguracyjne pod kątem wycieku,
- zresetować poświadczenia i tokeny w przypadku podejrzenia kompromitacji,
- ograniczyć ekspozycję komponentów administracyjnych do zaufanych sieci lub VPN,
- wdrożyć monitoring integralności plików i detekcję nietypowych procesów,
- segmentować infrastrukturę, aby ograniczyć możliwość ruchu bocznego.
Incydent pokazuje również, że proces zarządzania podatnościami nie powinien opierać się wyłącznie na formalnych identyfikatorach CVE. Równie istotna jest analiza poprawek dostawców, zmian w repozytoriach oraz sygnałów płynących z własnej telemetrii bezpieczeństwa.
Podsumowanie
Luka CVE-2026-110447 w komponencie Collabora Online dla Nextcloud to przykład krytycznej podatności, która bardzo szybko może przełożyć się na realne przejęcie serwera. Kluczowe znaczenie mają tutaj trzy czynniki: brak wymogu uwierzytelnienia, aktywna eksploatacja jeszcze przed szeroką publikacją informacji oraz możliwość instalacji trwałych backdoorów.
Administratorzy środowisk Nextcloud powinni jak najszybciej potwierdzić, czy korzystają z wbudowanego CODE Server, wdrożyć poprawkę lub usunąć komponent, a następnie przeprowadzić analizę środowiska pod kątem oznak kompromitacji.
Źródła
- https://www.bleepingcomputer.com/news/security/hackers-exploit-collabora-rce-flaw-to-backdoor-nextcloud-servers/
- https://github.com/advisories/
- https://nvd.nist.gov/
- https://www.collaboraonline.com/
- https://help.nextcloud.com/