Критическая дыра во встроенном CODE от Collabora: веб-шеллы на серверах Nextcloud

Злоумышленники использовали уязвимость в необязательном приложении Nextcloud — Collabora Online — Built-in CODE Server, — чтобы устанавливать на серверы веб-шеллы. О проблеме сообщили три администратора на GitHub; первая зафиксированная атака датируется 10 сентября. Веб-шелл — это небольшой файл, выполняющий любую присланную по HTTP-запросу команду с правами учётной записи веб-сервера.

Уязвимости присвоен идентификатор CVE-2026-110447; в записи она описана как «эксплуатируемая в дикой природе в сентябре и октябре 2026 года». Collabora устранила её 11 сентября в версии 26.4.303, а 14 октября опубликовала бюллетень. Важное предупреждение: отключить приложение недостаточно — его необходимо обновить (до 26.4.303 или новее) либо удалить.

Кто под угрозой

Приложение (пакет richdocumentscode) само скачивает копию Collabora Online Development Edition и запускает её прямо на сервере Nextcloud, чтобы редактировать документы без отдельного сервера Collabora. В каталоге оно помечено как предназначенное для локального тестирования и непромышленного использования, для личных нужд или небольших команд. Отдельно стоящие серверы Collabora Online не затронуты; не затронуты и установки, использующие только приложение Nextcloud Office (richdocuments) без встроенного CODE.

Как это работает

Скрипт proxy.php запускает локальный CODE-сервер, когда приходит запрос, а слушать его некому. В версиях до 26.4.302 текст из запроса, включая путь, подставлялся в команду bash внутри двойных кавычек, где оболочка по-прежнему исполняет всё, записанное как $(...). Запрос со спрятанной в пути командой выполнял её от имени веб-сервера. Атака возможна только пока сервер не запущен — при перезагрузке контейнера, обновлении или сбое.

Что делали атакующие

Один администратор обнаружил, что его серверы взломаны; логи двух из них показали запросы к proxy.php?status с одного IP. Команда записывала в папку приложения однострочный PHP-шелл и пыталась отправить вывод uname -a на адрес webhook.site. На одном сервере атакующий искал хранилища учётных данных и криптокошельки: файлы *.kdbx, wallet.dat, keystore.json, а также следы bitwarden, 1password, Bitcoin, Electrum, Monero и Ethereum. Признаков выгрузки файлов не зафиксировано, но всё, что доступно веб-серверу на чтение, стоит считать потенциально скомпрометированным. Ни в одном случае атакующий не получил root.

Исправление без уведомления о безопасности

Закрывающее дыру изменение — всего четыре строки: команда запуска теперь передаётся bash как единый экранированный аргумент. Коммит написал 20 августа Каолан Макнамара, однако в версию 26.4.302 (31 августа) правка не попала и была зафиксирована лишь 9 сентября — за день до первой атаки. Пользователи форума ещё 3 октября предупреждали об активной эксплуатации при отсутствии CVE; официальный бюллетень вышел только 14 октября.

Владельцам Nextcloud 29 и старше, куда 26.4.303 не устанавливается, следует обновить Nextcloud или удалить приложение. После обновления рекомендуется поискать и удалить файлы shx*.php.

Источник: The Hacker News