Lỗ hổng trong Collabora CODE tích hợp của Nextcloud bị khai thác để cài web shell
"Attackers exploited a command-injection flaw in Collabora Online - Built-in CODE Server (richdocumentscode) used by Nextcloud to drop PHP web shells on affected servers when the local CODE service was down. Collabora assigned CVE-2026-110447 and fixed the issue in version 26.4.303; standalone Collabora Online deployments were not affected, and users were advised to upgrade or remove the app rather than merely disabling it."
Rủi ro thực thi lệnh từ xa và cài web shell trên máy chủ Nextcloud; có dấu hiệu đã bị khai thác ngoài thực tế. Cần ưu tiên vá hoặc gỡ bỏ ứng dụng ngay.
Có thể ảnh hưởng đến tính toàn vẹn máy chủ, dữ liệu nội bộ và gây gián đoạn khi phải kiểm tra, làm sạch hệ thống. Tác động tăng nếu môi trường dùng Nextcloud Office cho nhóm làm việc.
Các nhà nghiên cứu ghi nhận kẻ tấn công đã khai thác lỗ hổng command injection trong Collabora Online - Built-in CODE Server (gói richdocumentscode) trên Nextcloud để thả PHP web shell lên máy chủ bị ảnh hưởng. Lỗi này chỉ xuất hiện khi dịch vụ CODE cục bộ không chạy, ví dụ trong lúc khởi động lại, nâng cấp hoặc sau sự cố.
Collabora đã gán mã CVE-2026-110447 và phát hành bản sửa trong 26.4.303 vào ngày 11/9; khuyến cáo chính thức được công bố ngày 14/10. Theo thông tin công bố, Collabora Online triển khai độc lập không bị ảnh hưởng. Ngược lại, việc chỉ tắt ứng dụng trong Nextcloud là không đủ để loại bỏ rủi ro.
Một số quản trị viên báo cáo dấu hiệu xâm nhập từ 10/9, với các yêu cầu tới proxy.php?status chứa payload ẩn trong đường dẫn. Kẻ tấn công còn tìm kiếm các tệp liên quan đến credential store và ví tiền điện tử như .kdbx, wallet.dat và keystore.json.
Khuyến nghị: nâng cấp richdocumentscode lên 26.4.303 hoặc mới hơn, hoặc gỡ bỏ ứng dụng nếu không cần dùng. Với Nextcloud 29 trở xuống, cần nâng cấp Nextcloud hoặc xóa app vì không thể cài bản đã vá. Sau khi cập nhật, nên rà soát shx*.php, kiểm tra log truy cập và các dấu hiệu sudo bất thường từ tài khoản web server.