Krytyczna luka w Nextcloud z Collabora (CVE-2026-110447). Jak sprawdzić, czy Cię dotyczy

14 października Collabora opublikowała opis luki CVE-2026-110447 w aplikacji „Collabora Online - Built-in CODE Server” dla Nextclouda (nazwa techniczna richdocumentscode). To ta aplikacja, która pozwala edytować dokumenty w przeglądarce bez stawiania osobnego serwera Collabora. Luka pozwala bez logowania wykonać dowolne polecenie na serwerze z uprawnieniami serwera WWW. Ocena krytyczności to 9.2 w skali CVSS 4.0. Atak nie jest teoretyczny: administratorzy zgłaszają włamania od połowy września, a 23 października amerykańska agencja CISA dopisała lukę do katalogu podatności aktywnie wykorzystywanych (KEV).

Kogo to dotyczy

Nextcloud jest popularny w małych firmach, kancelariach, szkołach i placówkach medycznych jako „własny Dysk Google”. Wbudowany serwer CODE to najprostszy sposób, żeby dodać do niego edycję dokumentów, dlatego jest instalowany bardzo często, także przez osoby, które później o nim zapominają. Według Censys w internecie widać kilkanaście tysięcy serwerów z tą aplikacją.

• Podatne: aplikacja richdocumentscode w wersji niższej niż 26.4.303.
• Niepodatne: samodzielne serwery Collabora Online (osobna instalacja, kontener lub usługa hostowana), podłączone do Nextclouda przez aplikację „Nextcloud Office”. Problem dotyczy wyłącznie wariantu wbudowanego.
• Nextcloud 29 i starsze (poza wsparciem): najnowsza wersja aplikacji, jaką da się na nich zainstalować, wciąż jest podatna. Trzeba zaktualizować Nextclouda do wersji 30 lub nowszej albo usunąć aplikację.

Na czym polega luka

Aplikacja ma plik proxy.php, który przekazuje ruch do lokalnego serwera CODE i uruchamia go, gdy ten nie działa. Dane z żądania trafiały do polecenia powłoki bez odpowiedniego oczyszczenia. Skrypt działa bezpośrednio przez serwer WWW, bez logowania do Nextclouda, więc wystarczy jedno spreparowane żądanie.

Jest jeden warunek: atak działa tylko wtedy, gdy wbudowany serwer CODE akurat nie działa, np. po restarcie kontenera, aktualizacji albo awarii. W praktyce to słabe pocieszenie, bo takie okna zdarzają się regularnie, a atakujący mogą po prostu próbować do skutku. Collabora zaznacza też, że to inna ścieżka niż w zeszłorocznej luce CVE-2025-66208, więc tamta poprawka nie chroni.

Z opublikowanych relacji wynika, że po wejściu atakujący zostawiali na serwerze webshelle (pliki shx*.php w katalogu aplikacji) i przeszukiwali dysk w poszukiwaniu haseł i portfeli kryptowalut. Polecenia wykonują się z uprawnieniami serwera WWW, czyli z dostępem do plików Nextclouda, pliku config.php z hasłem do bazy danych i danych użytkowników.

Jak sprawdzić, czy Cię dotyczy

Polecenia poniżej zakładają typową instalację w /var/www/nextcloud z serwerem WWW działającym jako www-data. W Dockerze, Nextcloud AIO czy instalacji ze snapa ścieżki i sposób uruchamiania occ będą inne.

1. Czy aplikacja jest zainstalowana i w jakiej wersji

cd /var/www/nextcloud
sudo -u www-data php occ app:list | grep -i richdocuments

Interesuje Cię wiersz richdocumentscode (lub richdocumentscode_arm64 na serwerach ARM). Uwaga: aplikacja może być na liście wyłączonych i nadal być podatna. Sam wpis richdocuments (bez „code”) to „Nextcloud Office”, czyli łącznik do serwera Collabora - on nie jest źródłem problemu. W panelu admina to samo widać w Aplikacje → Twoje aplikacje.

2. Czy na serwerze są ślady włamania

Szukaj podejrzanych plików PHP w katalogu aplikacji i sprawdź jej integralność:

find apps/richdocumentscode -name 'shx*.php'
sudo -u www-data php occ integrity:check-app richdocumentscode

Przejrzyj logi serwera WWW (także te zrotowane) od co najmniej 10 września pod kątem nietypowych żądań do proxy.php:

zgrep -hE 'richdocumentscode/proxy\.php' /var/log/nginx/access.log* \
  | grep -E '\$\(|%24%28|IFS|base64|%2e%2e'

Dla Apache zamień ścieżkę na /var/log/apache2/access.log*. Pusty wynik nie daje pewności - logi mogły się już zrotować albo zostać wyczyszczone.

Co zrobić

1. Zaktualizuj aplikację do 26.4.303 lub nowszej: sudo -u www-data php occ app:update richdocumentscode. Wymaga Nextclouda 30 lub nowszego.
2. Albo ją usuń, jeśli z niej nie korzystasz: sudo -u www-data php occ app:remove richdocumentscode. Samo wyłączenie (app:disable) nie wystarczy, bo podatny plik dalej leży na serwerze i jest dostępny z internetu.
3. Na Nextcloudzie 29 lub starszym usuń aplikację od razu, a aktualizację Nextclouda zaplanuj jako osobne zadanie - na tej wersji nie ma już poprawek bezpieczeństwa.
4. Docelowo rozważ osobny serwer Collabora (kontener lub usługa hostowana) zamiast wariantu wbudowanego. Twórcy sami opisują wbudowany serwer jako rozwiązanie dla małych, prostych instalacji.
5. Po zmianach powtórz sprawdzenie z punktu 2. Aktualizacja zamyka lukę, ale nie usuwa webshella, jeśli ktoś zdążył go wgrać.

Jeśli znajdziesz ślady włamania

Traktuj serwer jako przejęty. Odłącz go od internetu, zabezpiecz logi i kopię dysku do analizy, a jeśli nie masz pewności, co atakujący zmienił, odtwórz system z czystej kopii zapasowej sprzed września. Zmień hasło do bazy danych i sekrety z config.php, hasła kont administratorów oraz klucze i hasła, które były zapisane na serwerze. Jeśli w Nextcloudzie były dane osobowe, a w placówkach medycznych na pewno były, sprawdź z inspektorem ochrony danych, czy nie trzeba zgłosić naruszenia do UODO (na to jest 72 godziny).

Dlaczego warto nie odkładać tego na później

Poprawka jest dostępna od 11 września, ale opis luki pojawił się dopiero miesiąc później, a ataki trwały już wcześniej. To typowy scenariusz dla aplikacji, które ktoś zainstalował „na chwilę” i o nich zapomniał: aktualizacja przechodzi niezauważona albo w ogóle nie jest możliwa, bo cały Nextcloud stoi na wersji poza wsparciem. Dlatego oprócz łatania warto spisać, co faktycznie działa na serwerze i co z tego jest wystawione do internetu.

Źródła

Opracowano na podstawie komunikatu bezpieczeństwa Collabora (GHSA-g3vx-3m76-fghh), analizy Censys oraz informacji o dopisaniu luki do katalogu KEV CISA. Szczegóły mogą być jeszcze aktualizowane.