Saldırganlar Collabora açığını kullanarak Nextcloud sunucularına arka kapı yerleştiriyor

Saldırganlar, isteğe bağlı bir Nextcloud uygulaması olan Collabora Online - Built-in CODE Server'daki komut enjeksiyonu açığını kullanıyor. CVE-2026-110447 olarak izlenen güvenlik açığı, 26.4.303 öncesi richdocumentscode sürümlerini etkiliyor. Collabora; bağımsız Collabora Online sunucularının, Docker ve RPM/DEB kurulumlarının ve Nextcloud All-in-One dağıtımlarının etkilenmediğini belirtiyor.

Açık, uygulamanın birlikte sunulan Collabora sunucusunu başlatma biçiminde bulunuyor. Uygulamanın proxy.php uç noktasına gönderilen kötü amaçlı bir istek, işletim sistemi komut enjeksiyonunu tetikleyebiliyor. İstismar için yerleşik CODE sunucusunun yeniden başlatma, yükseltme veya çökme gibi bir nedenle durmuş olması gerekiyor. Kimlik doğrulaması ve kullanıcı etkileşimi gerekmiyor.

Birden fazla yönetici raporunda saldırıların 10 Eylül'e kadar uzandığı belirtiliyor. Bildirimlere göre saldırganlar PHP web kabukları yerleştirerek parola veritabanlarını, parola yöneticisi kalıntılarını ve kripto para cüzdanlarını aradı. BleepingComputer, fidye yazılımı operatörlerinin de açığı kullandığı yönündeki bildirimleri bağımsız olarak doğrulayamadı.

Collabora düzeltmeyi 9 Eylül'de depoya ekledi ve 26.4.303 sürümünü 11 Eylül'de yayımladı. Güvenlik duyurusu ve CVE ise 14 Ekim'de yayımlandı. Nextcloud, Collabora'nın açığı Eylül ortasında bildirdiğini ve güncellemenin uygulama mağazasında sunulduğunu BleepingComputer'a söyledi. Nextcloud, kullanıcılara güncelleme için zaman tanımak ve yaygın istismar gözlemlememiş olmak nedeniyle açıklamayı ertelediğini belirtti. Collabora, gecikmenin başlıca nedenini GitHub'daki CVE işleme kuyrukları olarak açıkladı.

Yöneticilere 26.4.303 veya daha yeni bir sürüme yükseltmeleri ya da gerekmiyorsa uygulamayı kaldırmaları öneriliyor. Collabora, uygulamayı devre dışı bırakmanın yeterli olmadığı uyarısında bulundu.