חולשה קריטית באפליקציה האופציונלית Collabora Online - Built-in CODE Server ל-Nextcloud מאפשרת לכל אחד להריץ פקודות מערכת על השרת ללא הזדהות. היא מנוצלת לפחות מאז 10 בספטמבר; Collabora פרסמה את ההודעה, CVE-2026-110447, רק ב-14 באוקטובר.
מה קרה
ב-14 באוקטובר 2026 פרסמה Collabora את ההודעה CVE-2026-110447 (CVSS 4.0: 9.2): הזרקת פקודות ללא הזדהות בקובץ proxy.php של אפליקציית Nextcloud Collabora Online - Built-in CODE Server (richdocumentscode). האפליקציה מריצה חבילה משרדית על אותו שרת של Nextcloud, בלי התקנת Collabora נפרדת. בקשה מעוצבת מספיקה כדי להריץ פקודת מערכת בהרשאות משתמש שרת האינטרנט.
ההודעה הגיעה באיחור, אבל התקיפות התחילו הרבה קודם. כבר ב-11 בספטמבר דיווח מנהל מערכת המארח כמה שרתי Nextcloud, בדף ה-GitHub של האפליקציה, על חדירות מוצלחות מאז היום הקודם, עם יומנים מ-10 בספטמבר. מנהלים אחרים תיארו לאחר מכן קובצי PHP בשם shx…php שהופיעו בהתקנה, וניסיונות sudo כושלים. הגרסה המתוקנת, 26.4.303, יצאה ב-11 בספטמבר.
מי מושפע
כל התקנת Nextcloud עם אפליקציית Built-in CODE Server בגרסה שקודמת ל-26.4.303. ניתן לנצל את החולשה רק כאשר השרת המשרדי המובנה אינו פועל: אחרי הפעלה מחדש של המכולה, עדכון או קריסה. השבתת האפליקציה אינה מספיקה, מזהירה Collabora: יש לעדכן או להסיר אותה. שרתי Collabora Online עצמאיים אינם מושפעים.
מה לעשות עכשיו
- בדקו אם האפליקציה מותקנת:
sudo -u www-data php occ app:list | grep richdocumentscode. - עדכנו ל-26.4.303 ומעלה (
occ app:update richdocumentscode) או הסירו (occ app:remove richdocumentscode). ב-Nextcloud 29 ומטה, שאינן נתמכות עוד, שדרגו את Nextcloud או הסירו את האפליקציה. - חפשו webshells:
find /var/www/nextcloud -name 'shx*.php', ואזocc integrity:check-core. מחקו כל קובץ שנמצא. - עברו על יומני שרת האינטרנט מאז 10 בספטמבר: בקשות ל-
proxy.phpשל האפליקציה מכתובות לא מוכרות, ותהליכים חריגים שרצים תחתwww-data. - אם נמצא webshell, התייחסו לשרת כפרוץ: חשבון שרת האינטרנט יכול לקרוא את
config.php. החליפו את סיסמת מסד הנתונים, הסודות וסיסמאות המנהלים, ועדיף לבנות את השרת מחדש.
הדעה שלנו
תוסף אופציונלי שמותקן בלחיצה אחת הופך לחלק משטח התקיפה של Nextcloud כולו. נהלו מלאי של האפליקציות שבשימוש בפועל, הסירו את השאר, ואל תחכו למספר CVE כדי להתקין עדכון שהקהילה כבר מתארת כתיקון אבטחה.
מקורות
- Collabora Online — Unauthenticated OS command injection in the richdocumentscode proxy (GHSA-g3vx-3m76-fghh)
- GitHub — richdocumentscode issue #354: Security issue - Hack
- The Hacker News — Hackers Backdoor Nextcloud Servers Through Critical Flaw in Collabora’s Built-in CODE App
איך אנחנו בוחרים, מאמתים וכותבים את הניתוחים שלנו ←
האם השרת שלכם חשוף? הריצו בדיקה חינמית — מידע ציבורי בלבד, ללא חדירה:
חוששים שהשרתים שלכם חשופים? הצוות שלנו בודק, מעדכן ומנטר תשתיות Linux וענן 24/7.
דברו עם מומחה שירותי ניהול השרתים שלנו ←
