Aanvallers misbruiken een lek in de Nextcloud-app Built-in CODE Server van Collabora om opdrachten uit te voeren.
Een kritiek lek in een Nextcloud-app van Collabora om documenten online te bewerken, laat aanvallers zonder account opdrachten uitvoeren op de server. Het lek wordt al sinds september misbruikt.
Collabora maakte op 14 oktober de kwetsbaarheid CVE-2026-110447 bekend in Built-in CODE Server, de Nextcloud-app van Collabora Online die ook bekendstaat als richdocumentscode. Het lek krijgt een CVSS-score van 9,2 en de ernstgraad kritiek. Aanvallers misbruikten het in september en oktober al.
Met de app draait Collabora Online, de kantoorsoftware om documenten in de browser te bewerken, rechtstreeks op de Nextcloud-server. Een aparte Collabora-server is dan niet nodig.
Malafide code
Het lek zit in proxy.php, een bestand van de app. Met een speciaal opgesteld verzoek kan een aanvaller zonder aan te melden een opdracht laten uitvoeren op het besturingssysteem, met de rechten van de webserver. Dat lukt alleen wanneer de ingebouwde CODE-server niet draait, bijvoorbeeld na een herstart van de container, een upgrade of een crash.
Op getroffen servers plaatsten aanvallers kleine PHP-bestanden met namen als shx*.php. Via zo’n webshell konden ze later opnieuw opdrachten geven. Een getroffen beheerder zag hoe de aanvallers op zijn server zochten naar databanken van wachtwoordbeheerders en cryptowallets.
Updaten of verwijderen
Het lek treft alleen Nextcloud-installaties met de app Built-in CODE Server in een versie ouder dan 26.4.303. Beheerders moeten de app bijwerken naar versie 26.4.303 of verwijderen. De app uitschakelen volstaat volgens Collabora niet. Nextcloud 29 en ouder worden niet langer ondersteund. Beheerders van zo’n installatie werken Nextcloud bij of verwijderen de app. Na de update raadt Collabora aan om achtergebleven shx*.php-bestanden te verwijderen.