Collabora-sårbarhet for ekstern kjøring av kode utnyttes til å installere bakdører på Nextcloud-servere

Angripere utnytter en Collabora-sårbarhet for ekstern kjøring av kode til å kompromittere Nextcloud-installasjoner som bruker den valgfrie appen Built-in CODE Server. Administratorer rapporterer om PHP-webshells og søk etter passorddatabaser, filer fra passordbehandlere og kryptovalutalommebøker.

Sårbarheten, registrert som CVE-2026-110447, påvirker appversjoner eldre enn 26.4.303. Rapporter viser at ondsinnet aktivitet fant sted allerede 10. september, mer enn en måned før den formelle sikkerhetsmeldingen og CVE-registreringen ble publisert.

Problemet påvirker imidlertid ikke alle installasjoner som bruker Collabora eller Nextcloud. Det er begrenset til den valgfrie innebygde serverappen, også kjent som richdocumentscode.

Sårbarheten påvirker oppstartsprosessen til den innebygde serveren

Collabora-sårbarheten for ekstern kjøring av kode finnes i mekanismen som starter den medfølgende dokumentserveren.

Angripere kan sende en spesiallaget forespørsel til appens proxy.php-endepunkt for å utløse kommandoinjeksjon i operativsystemet. Vellykket utnyttelse krever at den innebygde CODE-serveren er stoppet, noe som kan skje etter en omstart, oppgradering eller krasj.

Verken autentisering eller brukerinteraksjon er nødvendig.

Ifølge Collabora er frittstående Collabora Online-servere ikke berørt. Docker-installasjoner, RPM- og DEB-installasjoner samt Nextcloud All-in-One-installasjoner faller også utenfor det berørte området.

Administratorer må derfor undersøke om installasjonen deres bruker den sårbare innebygde appen, i stedet for å anta at alle Collabora-integrasjoner har det samme problemet.

Administratorer rapporterer om webshells og søk etter sensitive filer

Berørte administratorer har beskrevet angrep mot flere endepunkter, med rapporter som går tilbake til 10. september.

Angriperne skal ha installert PHP-webshells som gjorde det mulig å kjøre ytterligere kommandoer gjennom den kompromitterte webserveren. Deretter brukte de denne tilgangen til å søke etter sensitiv informasjon, inkludert passordrelaterte filer og kryptovalutalommebøker.

Enkelte rapporter fra brukermiljøet inneholdt også påstander om løsepengevirusaktivitet. Disse påstandene er imidlertid ikke bekreftet av uavhengige kilder.

Nextcloud opplyste at selskapet ikke hadde observert omfattende utnyttelse. Likevel viser administratorrapportene at angripere aktivt utnyttet sårbarheten før den formelle offentliggjøringen.

Oppdatering eller fjerning av appen utbedrer sårbarheten

Administratorer bør oppgradere Built-in CODE Server-appen til versjon 26.4.303 eller nyere. Alternativt kan de fjerne appen dersom de ikke lenger trenger den.

Collabora understreket spesielt at det ikke er tilstrekkelig å bare deaktivere appen.

Rettelsen ble lagt inn i kodebasen 9. september, og den korrigerte versjonen ble utgitt 11. september. En advarsel i brukermiljøet 3. oktober oppfordret deretter brukere til å oppdatere fordi utnyttelsen fortsatt pågikk.

Den formelle sikkerhetsmeldingen og CVE-registreringen ble imidlertid ikke publisert før 14. oktober. Dermed gikk det mer enn fire uker mellom utgivelsen av den korrigerte versjonen og den formelle publiseringen.

Forsinket offentliggjøring reiser spørsmål om sårbarhetssporing

Nextcloud opplyste at Collabora rapporterte sårbarheten i midten av september og gjorde en oppdatering tilgjengelig gjennom appbutikken. Selskapet beskrev forsinkelsen i offentliggjøringen som et tiltak for å gi brukerne tid til å installere rettelsen.

Collabora viste samtidig hovedsakelig til etterslep i GitHubs CVE-behandling som årsaken til den forsinkede kunngjøringen. Selskapet opplyste at et økende antall AI-assisterte sikkerhetsrapporter la press på prosessen.

Separat forskning fra Second Security undersøkte lignende forsinkelser knyttet til sårbarheter i programvare med åpen kildekode. Analysen viste at mediantiden mellom offentlig tilgjengelige rettelser og CVE-publisering nådde 39 dager i august, sammenlignet med 5,1 dager i januar.

Forskerne fant også tilfeller der offentlig tilgjengelig utnyttelseskode dukket opp bare timer etter en rettelse, før en tilsvarende CVE-registrering var tilgjengelig.

I denne hendelsen fremhever tidslinjen et praktisk problem: Angripere utnyttet den berørte appen mens administratorer fortsatt manglet en formell sårbarhetsidentifikator.