Collabora-sårbarhed til fjernkørsel af kode udnyttes til at installere bagdøre på Nextcloud-servere

Angribere udnytter en Collabora-sårbarhed til fjernkørsel af kode til at kompromittere Nextcloud-installationer, der bruger den valgfrie Built-in CODE Server-app. Administratorer rapporterer om PHP-webshells og søgninger efter adgangskodedatabaser, filer fra adgangskodeadministratorer og kryptovalutategnebøger.

Sårbarheden, der er registreret som CVE-2026-110447, påvirker appversioner ældre end 26.4.303. Rapporter viser, at ondsindet aktivitet fandt sted allerede den 10. september, mere end en måned før den formelle sikkerhedsmeddelelse og CVE-registrering blev offentliggjort.

Problemet påvirker dog ikke alle installationer, der bruger Collabora eller Nextcloud. Det er begrænset til den valgfrie indbyggede serverapp, også kendt som richdocumentscode.

Sårbarheden påvirker den indbyggede servers opstartsproces

Collabora-sårbarheden til fjernkørsel af kode findes i den mekanisme, der starter den medfølgende dokumentserver.

Angribere kan sende en særligt udformet anmodning til appens proxy.php-endpoint for at udløse kommandoinjektion i operativsystemet. En vellykket udnyttelse kræver, at den indbyggede CODE-server er stoppet, hvilket kan ske efter en genstart, opgradering eller et nedbrud.

Hverken godkendelse eller brugerinteraktion er nødvendig.

Ifølge Collabora er selvstændige Collabora Online-servere ikke berørt. Docker-installationer, RPM- og DEB-installationer samt Nextcloud All-in-One-installationer falder også uden for det berørte område.

Administratorer skal derfor undersøge, om deres installation bruger den sårbare indbyggede app, frem for at antage, at alle Collabora-integrationer har det samme problem.

Administratorer rapporterer om webshells og søgninger efter følsomme filer

Berørte administratorer har beskrevet angreb mod flere endpoints, med rapporter, der går tilbage til den 10. september.

Angriberne skal have installeret PHP-webshells, som gjorde det muligt at udføre yderligere kommandoer gennem den kompromitterede webserver. Derefter brugte de denne adgang til at søge efter følsomme oplysninger, herunder adgangskoderelaterede filer og kryptovalutategnebøger.

Nogle rapporter fra brugerfællesskabet indeholdt også påstande om ransomware-aktivitet. Disse påstande er dog ikke blevet bekræftet uafhængigt.

Nextcloud oplyste, at virksomheden ikke havde observeret omfattende udnyttelse. Administratorernes rapporter viser ikke desto mindre, at angribere aktivt udnyttede sårbarheden før den formelle offentliggørelse.

Opdatering eller fjernelse af appen afhjælper sårbarheden

Administratorer bør opgradere Built-in CODE Server-appen til version 26.4.303 eller nyere. Alternativt kan de fjerne appen, hvis de ikke længere har brug for den.

Collabora understregede især, at det ikke er tilstrækkeligt blot at deaktivere appen.

Rettelsen blev indført i kodebasen den 9. september, og den korrigerede version blev udgivet den 11. september. En advarsel i brugerfællesskabet den 3. oktober opfordrede efterfølgende brugerne til at opdatere, fordi udnyttelsen stadig var i gang.

Den formelle sikkerhedsmeddelelse og CVE-registreringen blev dog først offentliggjort den 14. oktober. Dermed gik der mere end fire uger mellem udgivelsen af den korrigerede version og den formelle offentliggørelse.

Forsinket offentliggørelse rejser spørgsmål om sporing af sårbarheder

Nextcloud oplyste, at Collabora rapporterede sårbarheden i midten af september og gjorde en opdatering tilgængelig gennem appbutikken. Virksomheden beskrev forsinkelsen i offentliggørelsen som en måde at give brugerne tid til at installere rettelsen.

Collabora henviste samtidig primært til ophobede sager i GitHubs CVE-behandling som årsagen til den forsinkede meddelelse. Virksomheden oplyste, at et stigende antal AI-assisterede sikkerhedsrapporter lagde pres på processen.

Separat forskning fra Second Security undersøgte lignende forsinkelser i forbindelse med sårbarheder i open source-software. Analysen viste, at mediantiden mellem offentligt tilgængelige rettelser og CVE-offentliggørelse nåede 39 dage i august sammenlignet med 5,1 dage i januar.

Forskerne fandt også tilfælde, hvor offentligt tilgængelig udnyttelseskode dukkede op få timer efter en rettelse, før en tilsvarende CVE-registrering blev tilgængelig.

I denne hændelse fremhæver tidslinjen et praktisk problem: Angribere udnyttede den berørte app, mens administratorer stadig manglede en formel sårbarhedsidentifikator.