Злоумышленники внедрили веб-шеллы на серверы Nextcloud через приложение Collabora
Изображение: OpenAI
Злоумышленники установили веб-шеллы на серверы Nextcloud через уязвимость CVE-2026-110447 в приложении Collabora для работы с документами, сообщает The Hacker News. О взломах сообщили три администратора, первая зафиксированная в журналах атака произошла 10 сентября.
Приложение richdocumentscode запускает сервер документов CODE прямо на сервере Nextcloud. Уязвимость позволяет злоумышленнику без авторизации выполнять команды с правами учётной записи веб-сервера, но только пока CODE не работает, например при перезапуске или после сбоя. Отдельные серверы Collabora Online и установки Nextcloud Office без этого приложения не затронуты. По словам представителя проекта, уязвим только редкий режим со встроенным сервером CODE, а само приложение в каталоге описано как предназначенное для тестов и небольших команд.
На одном из взломанных серверов злоумышленник искал хранилища учётных данных и криптовалютные кошельки. В изученных запросах не нашли команд для выгрузки файлов, однако первым сообщивший о взломе администратор советует исходить из того, что злоумышленник мог получить любые данные, доступные учётной записи веб-сервера. Общее число взломанных серверов неизвестно.
Collabora исправила ошибку 11 сентября в версии 26.4.303, но опубликовала предупреждение только 14 октября. Уязвимы все более ранние версии. Исправление другой уязвимости внедрения команд в том же скрипте, CVE-2025-66208, о которой сообщили в декабре 2025 года, от нынешней атаки не защищает.
Компания предупреждает, что простого отключения приложения недостаточно: его необходимо обновить или удалить. Исправленная версия требует Nextcloud 30 или новее. Пользователям Nextcloud 29 и более ранних версий нужно обновить Nextcloud либо удалить приложение.
При этом администраторы сообщают, что версия 26.4.402, выпущенная 24 сентября, в некоторых конфигурациях не запускается или не открывает документы. Поэтому они возвращались к версии 26.4.303, указанной в предупреждении как исправленная.
После обновления следует проверить наличие оставшихся веб-шеллов, имена которых начинаются на shx и заканчиваются на .php, прежде всего в apps/richdocumentscode, и удалить их. В журналах доступа начиная с 10 сентября стоит искать запросы к proxy.php?status, в пути которых есть %2e%2e, $( или ${IFS}, а также попытки учётной записи веб-сервера выполнить sudo.
