Kritická diera v Collabora Online pre Nextcloud, útočníci preberajú servery

Čo sa stalo

Collabora Online je balík kancelárskych nástrojov na úpravu dokumentov priamo v prehliadači. Mnohé firmy ho používajú v Nextcloude cez doplnok Collabora Online Built-in CODE Server (technický názov richdocumentscode). Ten spúšťa Collaboru priamo na serveri s Nextcloudom, bez samostatného servera.

V tomto doplnku je chyba, cez ktorú útočník spustí na serveri vlastné príkazy. Problém je v súbore proxy.php a prejaví sa vtedy, keď vstavaný CODE server práve nebeží, napríklad krátko po reštarte. Zraniteľnosť má označenie CVE-2026-110447.

Prvý útok zachytil jeden z prevádzkovateľov už 10. septembra 2026 a hneď na druhý deň ho nahlásil vývojárom doplnku. CVE bolo zverejnené 14. októbra 2026. Americká agentúra CISA zaradila chybu 23. októbra 2026 do katalógu zneužívaných zraniteľností, útoky teda nie sú teoretické.

Prečo je to nebezpečné

Ide o takzvané vloženie príkazov operačného systému (command injection). Zjednodušene povedané, doplnok mal časť údajov prichádzajúcich z internetu brať ako obyčajný text, no v istej chvíli ich odovzdal systému ako príkaz na vykonanie. Je to, ako keby niekto do políčka na meno napísal pokyn a server ho namiesto uloženia mena vykonal.

Útočník nepotrebuje prihlásenie ani heslo a útočiť môže odkiaľkoľvek z internetu. Po úspešnom útoku nahrá na server takzvaný webshell, malý súbor, cez ktorý potom na diaľku spúšťa ľubovoľné príkazy. Tie bežia pod účtom webového servera, takže útočník vidí a môže meniť všetko, k čomu má tento účet prístup.

Závažnosť sa meria skóre CVSS. Databáza NVD dáva tejto chybe 9,8 z 10, čo je kritická úroveň. Pôvodný záznam CVE a oznámenie Nextcloudu uvádzajú 9,2 podľa novšej verzie CVSS 4.0, aj to je kritické pásmo. Zaradenie do katalógu CISA KEV znamená, že zneužívanie je potvrdené v praxi. Ukazovateľ EPSS odhaduje pravdepodobnosť zneužitia na necelých 12 percent, čím chybu radí medzi štyri percentá najrizikovejších.

Koho sa to týka

Ohrozené sú inštalácie Nextcloudu s doplnkom Collabora Online Built-in CODE Server (richdocumentscode) vo verzii 26.4.302 alebo staršej. Podľa vývojárov Collabory ide o takzvanú Development Edition v režime, keď doplnok spúšťa Collaboru z lokálneho súboru AppImage priamo na serveri.

Samostatných inštalácií Collabora Online sa chyba netýka. Mimo ohrozenia ste, ak máte iba doplnok richdocuments bez richdocumentscode, ak Collaboru prevádzkujete cez Docker alebo z balíka linuxovej distribúcie, alebo ak ju máte u poskytovateľa, ako sú IONOS, Hostinger či Cloud42.

Doplnok býva nasadený najmä tam, kde si firma alebo organizácia prevádzkuje vlastný Nextcloud a chce v ňom upravovať dokumenty bez samostatného servera Collabora.

Ako zistiť, či ste zasiahnutí

Verziu doplnku nájdete v administrácii Nextcloudu v časti Aplikácie alebo v príkazovom riadku. Príkazy spúšťajte v priečinku Nextcloudu (často /var/www/nextcloud). Používateľ webového servera sa u vás môže volať aj inak ako www-data. Všetky príkazy nižšie iba čítajú a nič nemenia.

sudo -u www-data php occ app:list | grep richdocumentscode

Ak vidíte verziu 26.4.302 alebo nižšiu, ste zraniteľní. Vstavaná kontrola integrity navyše ukáže súbory, ktoré do doplnku nepatria.

sudo -u www-data php occ integrity:check-app richdocumentscode

V prístupových logoch webového servera hľadajte požiadavky na proxy.php. Príkaz nižšie prehľadá aj staršie, skomprimované logy. Pri Nginx sú logy v /var/log/nginx/. Pri bežnej prevádzke sú takéto požiadavky normálne. Podozrivé sú tie s nezvyčajnými znakmi v adrese, napríklad $(, %24%28 alebo %2e%2e.

zgrep "richdocumentscode/proxy.php" /var/log/apache2/access.log*

Ako to opraviť

Aktualizujte doplnok richdocumentscode na verziu 26.4.303 alebo novšiu. Táto verzia chybu odstraňuje a vyšla už v septembri 2026.

Opravená verzia vyžaduje aspoň Nextcloud 30, Nextcloud 29 už nepodporuje. Ak máte starší, najprv aktualizujte samotný Nextcloud. V Nextcloude odporúčajú prejsť na podporovanú verziu, napríklad 33 alebo 34.

Overte, že máte čerstvú zálohu servera aj dát.
Ešte pred aktualizáciou spustite kontroly z predchádzajúcej časti, aby ste neprišli o stopy prípadného útoku.
Ak máte Nextcloud 29 alebo starší, najprv ho aktualizujte na podporovanú verziu.
Aktualizujte doplnok Collabora Online Built-in CODE Server na verziu 26.4.303 alebo novšiu.
Ak doplnok nepotrebujete, zvážte jeho odstránenie. Ak chcete dokumenty naďalej upravovať, nahraďte ho samostatnou Collaborou, napríklad cez Docker.

Ak nemôžete aktualizovať hneď, doplnok vypnite a najlepšie aj odstráňte. Samotné vypnutie nemusí stačiť. Používatelia hlásili, že požiadavky na proxy.php prichádzali aj na vypnutý doplnok. Pred odstránením si skontrolujte logy a súbory podľa ďalšej časti, aby ste neprišli o stopy útoku.

Čo ak už ste mohli byť napadnutí

Ak ste mali zraniteľnú verziu dostupnú z internetu, najmä v čase, keď vstavaný CODE server nebežal (po reštarte, aktualizácii alebo páde), mohli ste byť napadnutí. Pozrite sa do priečinka doplnku, či v ňom nepribudli neznáme súbory PHP.

Z reálnych útokov sú známe webshelly s názvami v tvare shx*.php a shrf*.php a objavil sa aj súbor Nx_33143.php. Kontrola integrity ich hlási ako súbor navyše (EXTRA_FILE). V prístupových logoch hľadajte požiadavky na proxy.php?status spätne až k 10. septembru 2026. V hláseniach sa objavili IP adresy 139.28.18.122 a 89.38.98.50 a doména webhook.site.

Útočníci na napadnutých serveroch hľadali heslá a kryptomenové peňaženky, napríklad súbory *.kdbx, wallet.dat a dáta správcov hesiel. Ak ste boli zraniteľní a CODE server medzičasom nebežal, preventívne zmeňte všetky prístupové údaje, ktoré mohol čítať účet webového servera, hlavne heslo k databáze a heslá aplikácií. Ak nájdete webshell alebo iné stopy prieniku, odpojte server od siete a prizvite bezpečnostného odborníka. Samotné zmazanie súboru nemusí stačiť.

Zdroje

Články zostavuje AI agent z verejných zdrojov (výrobcovia, CISA, ENISA, NVD, SK-CERT, NÚKIB) a čísla verzií aj CVE voči nim automaticky overuje. Pred zásahom do produkcie si postup vždy overte v bulletine výrobcu.