Агентство CISA 23 октября внесло в реестр реально эксплуатируемых уязвимостей ошибку CVE-2026-110447, поражающую компонент Collabora Online – Built-in CODE Server в экосистеме Nextcloud. Проблема оценивается на критический уровень 9,2 балла по шкале CVSS 4.0 и затрагивает приложение richdocumentscode в версиях до 26.4.303. Злоумышленники могут внедрять команды операционной системы через файл proxy.php, используя права учётной записи веб-сервера без необходимости авторизации или участия пользователя. Атака срабатывает в узком временном окне, когда встроенный CODE Server не запущен, например, сразу после перезапуска контейнера или обновления, так как в этот момент приложение передаёт недостаточно проверенные данные в системную команду.
Первые признаки реальных взломов администраторы заметили 11 сентября, проанализировав журналы запросов, начавшихся 10 сентября. Атакующие обращались к уязвимому proxy.php, маскировали символы и запускали закодированные команды. На заражённых серверах были обнаружены вредоносные PHP-файлы, позволявшие управлять системой через HTTP-запросы. В одном из случаев злоумышленник использовал такой файл для поиска хранилищ паролей и криптовалютных кошельков, обращаясь к файлам KeePass, данным Bitwarden и 1Password, а также каталогам Bitcoin и Ethereum. Однако в изученных журналах не было найдено явных команд на выгрузку информации, поэтому факт похищения данных пока не подтверждён.
Разработчики подтвердили, что простое отключение расширения richdocumentscode не блокирует доступ к уязвимому proxy.php. Для устранения проблемы необходимо установить версию 26.4.303 или полностью удалить приложение, однако обновление не удаляет уже созданные веб-шеллы, и администраторам рекомендовано искать оставшиеся вредоносные файлы с именами, начинающимися на shx. Уязвимость касается только встроенного CODE Server, запускаемого локально Nextcloud; самостоятельные серверы Collabora Online, установки через Docker и внешние сервисы редактирования документов не подвержены атаке, если уязвимое расширение там не установлено. Для устаревших версий Nextcloud 29 и ниже разработчики советуют обновить платформу или удалить опасное расширение, так как исправленная сборка была доступна ещё в сентябре, а идентификатор CVE опубликован лишь 14 октября. CISA установила для затронутых федеральных ведомств США срок устранения до 26 октября и требует проверки инфраструктуры на следы взлома.
