Nextcloud sunucularına Collabora'nın yerleşik CODE uygulamasındaki açıkla arka kapı kuruldu

The Hacker News'in aktardığına göre saldırganlar, eylül ayından bu yana Nextcloud'un isteğe bağlı "Collabora Online - Built-in CODE Server" uygulamasındaki kritik bir açığı kullanarak Nextcloud sunucularına PHP web shell yerleştiriyor. GHSA-g3vx-3m76-fghh tavsiye kararıyla CVE-2026-110447 kimliğini alan kimlik doğrulamasız komut enjeksiyonu açığı 11 Eylül'de sessizce düzeltildi; ancak CVE ve kamuya açık tavsiye kararı ancak 14 Ekim'de yayımlandı. Bu durum pek çok yöneticinin harekete geçmesi gerektiğinden habersiz kalmasına yol açtı.

Neler oldu?

The Hacker News'e göre sorunu GitHub'da üç yönetici bildirdi. İlk bildirimi yapan yönetici, barındırdığı ve tamamı richdocumentscode uygulamasının 26.4.302 sürümünü çalıştıran birden fazla Nextcloud sunucusunun ele geçirildiğini söyledi. Bir diğeri web shell'i Nextcloud'un bütünlük denetiminin yeni bir PHP dosyasını işaretlemesiyle buldu; üçüncü yönetici ise saldırıyı başarısız sudo uyarı e-postalarından fark etti. Kayıtlara geçen ilk saldırı 10 Eylül'de gerçekleşti. Collabora'nın tavsiye kararına göre açık Eylül ve Ekim 2026'da gerçek saldırılarda istismar edildi. Etkilenen sunucu sayısı bilinmiyor.

Teknik detaylar

Yayının aktardığına göre uygulamanın proxy.php betiği, yol dahil istek metnini çift tırnaklı bir bash komutunun içine yerleştiriyordu; bu nedenle yola gizlenen bir komut web sunucusu kullanıcısı olarak çalışıyordu. Saldırı yalnızca uygulamanın yerel belge sunucusu çalışmadığında, örneğin yeniden başlatma, güncelleme veya çökme sırasında işe yarıyor. Aynı betikte Aralık 2025'te duyurulan ayrı bir komut enjeksiyonu açığının (CVE-2025-66208) düzeltmesi bu sorunu engellemiyor.

İncelenen saldırılarda proxy.php?status adresine gönderilen istekler, uygulama klasörüne tek satırlık bir PHP web shell yazdı. Bir sunucuda saldırgan *.kdbx ve wallet.dat gibi parola veritabanları ile kripto para cüzdanlarını aradı. Bildirimi yapan yönetici dosyaların dışarı kopyalandığını gösteren bir komut ya da root erişimine dair bir kanıt görmedi; ancak web sunucusu hesabının okuyabildiği her şeyin açığa çıkmış sayılmasını önerdi.

Raporda yayımlanan göstergeler arasında web shell'in SHA-256 özeti 4b9fbd0663fbfd6028fc216ed18e0d6ef3ae498a7fdc97083e4b0ce3cec40562, apps/richdocumentscode/ altındaki shxa35d0.php ve shrf4645.php gibi dosya adları ile 139.28[.]18[.]122 ve 89.38[.]98[.]50 IP adresleri bulunuyor.

Kimler etkileniyor?

richdocumentscode uygulamasının 26.4.303 öncesindeki tüm sürümleri savunmasız. Bağımsız Collabora Online sunucuları ve yerleşik sunucu olmadan yalnızca Nextcloud Office (richdocuments) uygulamasını kullanan kurulumlar etkilenmiyor. The Hacker News, düzeltilmiş sürümlerin Nextcloud 30 veya üzerini gerektirdiğini, destek süresi dolmuş Nextcloud 29 ve öncesine ise uygulama mağazasının hâlâ etkilenen bir sürüm sunduğunu belirtti.

Ne yapmalı?

richdocumentscode uygulaması 26.4.303 veya üzerine güncellenmeli ya da kaldırılmalı; Collabora'nın tavsiye kararına göre devre dışı bırakmak yeterli değil. Bazı yöneticiler 26.4.402 sürümünün belgeleri açamadığını bildirerek 26.4.303'e geri döndü. Ekiplerin shx*.php dosyalarını silmesi, erişim kayıtlarını en az 10 Eylül'e kadar geriye giderek %2e%2e, $( veya ${IFS} içeren proxy.php?status istekleri için incelemesi, web sunucusu hesabının sudo denemelerini kontrol etmesi ve bu hesabın okuyabildiği kimlik bilgilerini yenilemesi gerekiyor.