Collabora-sårbarhet för fjärrkörning av kod utnyttjas för att installera bakdörrar på Nextcloud-servrar

Angripare utnyttjar en Collabora-sårbarhet för fjärrkörning av kod för att kompromettera Nextcloud-installationer som använder den valfria appen Built-in CODE Server. Administratörer rapporterar om PHP-webbskal och sökningar efter lösenordsdatabaser, filer från lösenordshanterare och kryptovalutaplånböcker.

Sårbarheten, som identifieras som CVE-2026-110447, påverkar appversioner äldre än 26.4.303. Rapporter visar att skadlig aktivitet förekom redan den 10 september, mer än en månad innan den officiella säkerhetsinformationen och CVE-registreringen publicerades.

Problemet påverkar dock inte alla installationer som använder Collabora eller Nextcloud. Det är begränsat till den valfria inbyggda serverappen, även känd som richdocumentscode.

Sårbarheten påverkar den inbyggda serverns startprocess

Collabora-sårbarheten för fjärrkörning av kod finns i mekanismen som startar den medföljande dokumentservern.

Angripare kan skicka en särskilt utformad begäran till appens proxy.php-slutpunkt för att utlösa kommandoinjektion i operativsystemet. För att attacken ska lyckas måste den inbyggda CODE-servern vara stoppad, vilket kan inträffa efter en omstart, uppgradering eller krasch.

Varken autentisering eller användarinteraktion krävs.

Enligt Collabora påverkas inte fristående Collabora Online-servrar. Docker-installationer, RPM- och DEB-installationer samt Nextcloud All-in-One-installationer omfattas inte heller av sårbarheten.

Därför behöver administratörer kontrollera om deras installation använder den sårbara inbyggda appen, i stället för att anta att alla Collabora-integrationer påverkas.

Administratörer rapporterar webbskal och sökningar efter känsliga filer

Berörda administratörer har beskrivit attacker mot flera slutpunkter, med rapporter som sträcker sig tillbaka till den 10 september.

Angriparna ska ha installerat PHP-webbskal som gjorde det möjligt att köra ytterligare kommandon via den komprometterade webbservern. Därefter använde de åtkomsten för att söka efter känslig information, inklusive lösenordsrelaterade filer och kryptovalutaplånböcker.

Vissa rapporter från användarforum innehöll även påståenden om ransomware-aktivitet. Dessa uppgifter har dock inte bekräftats oberoende.

Nextcloud uppgav att företaget inte hade observerat någon omfattande exploatering. Administratörernas rapporter visar ändå att angripare aktivt utnyttjade sårbarheten innan den offentliggjordes formellt.

Uppdatering eller borttagning av appen åtgärdar sårbarheten

Administratörer bör uppgradera appen Built-in CODE Server till version 26.4.303 eller senare. Alternativt kan de ta bort appen om den inte längre behövs.

Collabora betonade särskilt att det inte räcker att enbart inaktivera appen.

Korrigeringen infördes i kodbasen den 9 september och den rättade versionen släpptes den 11 september. Därefter uppmanade en varning i användarforum den 3 oktober användare att uppdatera eftersom sårbarheten fortfarande utnyttjades.

Den officiella säkerhetsinformationen och CVE-registreringen publicerades dock först den 14 oktober. Därmed gick mer än fyra veckor mellan lanseringen av den korrigerade versionen och den formella publiceringen.

Försenad publicering väcker frågor om sårbarhetshantering

Nextcloud uppgav att Collabora rapporterade sårbarheten i mitten av september och gjorde en uppdatering tillgänglig via appbutiken. Företaget beskrev fördröjningen i offentliggörandet som ett sätt att ge användarna tid att installera korrigeringen.

Collabora hänvisade samtidigt främst till köer i GitHubs CVE-hantering som förklaring till det försenade tillkännagivandet. Företaget uppgav att ett växande antal AI-assisterade säkerhetsrapporter belastade processen.

Separat forskning från Second Security undersökte liknande förseningar för sårbarheter i öppen källkod. Analysen visade att mediantiden mellan offentliga korrigeringar och CVE-publicering ökade till 39 dagar i augusti, jämfört med 5,1 dagar i januari.

Forskarna identifierade också fall där offentlig exploateringskod dök upp inom några timmar efter en korrigering, innan motsvarande CVE hade blivit tillgänglig.

I det här fallet belyser tidslinjen ett konkret problem: angripare utnyttjade den berörda appen samtidigt som administratörer fortfarande saknade en formell sårbarhetsidentifierare.