Зловмисники масово б’ють по серверам Nextcloud, використовуючи критичну уразливість віддаленого виконання команд (CVE-2026-110447) у застосунку Collabora Online – Built-in CODE Server (richdocumentscode). Перші атаки зафіксовані в середині вересня, тоді як офіційні повідомлення і CVE з’явилися лише 14 жовтня.
Що саме вразливо
Проблема зачіпає версії richdocumentscode до 26.4.303 і криється в механізмі запуску вбудованого сервера Collabora у застосунку Nextcloud. Вразлива лише опціональна складова Built-in CODE server: окремі інсталяції Collabora Online, розгортання через Docker, RPM/DEB та Nextcloud All-in-One не під ударом, за даними Collabora.
Як відбувається злам
Атака ґрунтується на зловмисному запиті до proxy.php, що призводить до ін’єкції команд ОС. Критична передумова — вбудований CODE-сервер має бути зупинений (наприклад, після рестарту, оновлення чи падіння). Аутентифікація або взаємодія користувача не потрібні.
Адміністратори повідомляють про злами щонайменше з 10 вересня: зловмисники розміщували PHP-вебшелли й шукали бази паролів, артефакти менеджерів паролів та криптогаманці. Деякі користувачі говорять і про участь операторів шифрувальників, але BleepingComputer цього не підтвердив.
Оновлення та рекомендації
Розробники радять негайно оновитись до 26.4.303 або новіше, або прибрати серверний застосунок, якщо він не потрібен. Лише вимкнення застосунку недостатнє. Попередження від мейнтейнерів лунали ще з середини вересня, а 3 жовтня спільнота опублікувала окреме застереження через активну експлуатацію.
Чому з CVE було запізно
Second Security проаналізувала розрив між публічними виправленнями та появою CVE: медіанний інтервал зріс з 5,1 дня у січні до 39 днів у серпні. Дослідники пов’язують це з напливом знахідок, у чому допомагають інструменти штучного інтелекту. Нерідко експлойти з’являються в мережі за лічені години після фіксу і ще до публікації CVE.
У випадку Collabora виправлення закомічили 9 вересня, версію 26.4.303 випущено 11 вересня, а консультація і CVE — 14 жовтня, тобто з відривом понад чотири тижні. Nextcloud повідомила, що Collabora поінформувала про проблему в середині вересня, оновлення було доступне через магазин застосунків, а затримка з розкриттям мала дати користувачам час на оновлення; компанія також заявила, що не бачила широкомасштабної експлуатації. У Collabora пояснили затримку насамперед чергою на обробку CVE в GitHub, навантаженою AI-генерованими звітами.