Krytyczna luka RCE w Collabora Online dla Nextcloud umożliwia przejęcie serwerów

Wprowadzenie do problemu / definicja

W środowisku Nextcloud ujawniono krytyczną podatność zdalnego wykonania poleceń oznaczoną jako CVE-2026-110447. Problem dotyczy komponentu Collabora Online – Built-in CODE Server, dostarczanego jako aplikacja richdocumentscode, i może prowadzić do pełnej kompromitacji serwera.

Najpoważniejszym aspektem tej luki jest fakt, że była ona aktywnie wykorzystywana jeszcze przed szerokim nagłośnieniem sprawy. Oznacza to, że część organizacji mogła pozostawać narażona mimo braku formalnego, powszechnie rozpoznawalnego alertu bezpieczeństwa.

W skrócie

Podatność dotyczy aplikacji richdocumentscode w wersjach wcześniejszych niż 26.4.303.
Luka pozwala na nieautoryzowane wykonanie poleceń systemowych przez endpoint proxy.php.
Warunkiem skutecznego ataku jest sytuacja, w której wbudowany CODE Server nie działa lokalnie.
Napastnicy wykorzystywali podatność do instalowania webshelli i utrwalania dostępu.
Problem nie obejmuje wszystkich modeli wdrożeniowych Collabora Online, w tym wybranych instalacji odseparowanych od aplikacji Nextcloud.

Kontekst / historia

Pierwsze sygnały aktywnego wykorzystywania podatności pojawiły się we wrześniu 2026 roku. Poprawka została opublikowana jeszcze przed formalnym nagłośnieniem sprawy, a wersję 26.4.303 udostępniono 11 września 2026 roku. Szersze informacje bezpieczeństwa oraz identyfikator CVE-2026-110447 pojawiły się dopiero 14 października 2026 roku.

Taki odstęp między wydaniem poprawki a oficjalnym wpisem CVE ma duże znaczenie operacyjne. W wielu organizacjach priorytetyzacja aktualizacji wciąż opiera się głównie na biuletynach producentów i publicznych identyfikatorach podatności, co może opóźniać reakcję na realne zagrożenie.

Analiza techniczna

Opisywana luka ma charakter OS command injection i prowadzi do zdalnego wykonania poleceń bez uwierzytelnienia oraz bez udziału użytkownika. Wektor ataku wykorzystuje żądania kierowane do proxy.php w aplikacji richdocumentscode.

Kluczowym elementem scenariusza ataku jest stan, w którym lokalny proces wbudowanego CODE Servera nie działa, na przykład po restarcie, awarii lub aktualizacji. W takiej sytuacji mechanizm odpowiedzialny za uruchamianie usługi może zostać nadużyty do wykonania komend na poziomie systemu operacyjnego.

To ważne rozróżnienie, ponieważ źródłem problemu nie jest sam edytor dokumentów ani pliki otwierane przez użytkownika. Luka wynika z logiki zarządzania procesem uruchamiania komponentu serwerowego osadzonego bezpośrednio w aplikacji Nextcloud, co znacząco zwiększa powierzchnię ataku.

Z udostępnionych informacji wynika, że po skutecznej eksploatacji napastnicy instalowali na serwerach pliki PHP pełniące funkcję webshelli. Następnie prowadzili rekonesans środowiska w poszukiwaniu wartościowych danych, takich jak bazy haseł, magazyny poświadczeń czy portfele kryptowalutowe.

Konsekwencje / ryzyko

Ryzyko związane z CVE-2026-110447 należy uznać za bardzo wysokie. Atak nie wymaga logowania, był wykorzystywany w rzeczywistych incydentach i może prowadzić do wykonania dowolnych poleceń systemowych.

W praktyce skutki udanego ataku mogą obejmować:

instalację backdoora i trwałe utrzymanie dostępu do serwera,
kradzież danych przechowywanych w środowisku Nextcloud,
przejęcie poświadczeń użytkowników i administratorów,
ruch boczny do innych systemów wewnętrznych,
wykorzystanie hosta do dalszych ataków,
wdrożenie narzędzi do eksfiltracji danych lub ransomware.

Szczególnie zagrożone mogą być mniejsze wdrożenia, w których wbudowany CODE Server został uruchomiony dla wygody administracyjnej, ale bez rozbudowanego monitoringu, kontroli integralności plików i procedur szybkiego reagowania na incydenty.

Rekomendacje

Najważniejszym krokiem jest natychmiastowe sprawdzenie, czy środowisko korzysta z aplikacji richdocumentscode. Jeśli tak, należy jak najszybciej przeprowadzić aktualizację do wersji 26.4.303 lub nowszej. Jeżeli organizacja nie potrzebuje tego komponentu, bezpieczniejszym podejściem będzie jego usunięcie i zastosowanie odseparowanego modelu wdrożenia edytora dokumentów.

Z perspektywy reagowania i dochodzenia powłamaniowego warto:

przeanalizować logi HTTP i logi aplikacyjne pod kątem nietypowych żądań do proxy.php,
sprawdzić obecność nieautoryzowanych plików PHP,
zweryfikować integralność katalogów aplikacji Nextcloud,
przeanalizować procesy uruchamiane przez użytkownika serwera WWW,
zbadać dostęp do magazynów poświadczeń i innych wrażliwych zasobów,
zresetować poświadczenia administracyjne w przypadku podejrzenia kompromitacji,
ograniczyć uprawnienia kont usługowych oraz segmentować środowisko.

Dodatkowo organizacje powinny rozważyć wdrożenie detekcji prób command injection, monitorowania zmian w katalogach aplikacji webowych oraz skrócenie czasu wdrażania aktualizacji dla komponentów open source. Incydent ten pokazuje również, że śledzenie samych wpisów CVE nie zawsze wystarcza do skutecznej obrony.

Podsumowanie

CVE-2026-110447 to krytyczna luka RCE w aplikacji Collabora Online – Built-in CODE Server dla Nextcloud, która była aktywnie wykorzystywana do przejmowania serwerów i instalowania backdoorów. Zagrożenie dotyczy wdrożeń korzystających z aplikacji richdocumentscode w podatnych wersjach, a skutki udanej eksploatacji mogą obejmować pełną kompromitację hosta.

Kluczowe działania obronne to szybka aktualizacja do wersji 26.4.303 lub nowszej, weryfikacja śladów włamania oraz ocena, czy wbudowany model wdrożeniowy nadal jest uzasadniony z punktu widzenia bezpieczeństwa.