Aktívan kihasznált Nextcloud-hiba: kritikus sérülékenység a Collabora bővítményben

Valós támadásokban kihasznált, kritikus sérülékenység érinti a Nextcloud bizonyos dokumentumszerkesztő telepítéseit. Az amerikai CISA 2026. október 23-án felvette a CVE-2026-110447 azonosítójú hibát a Known Exploited Vulnerabilities (KEV) katalógusába, amely a bizonyítottan kihasznált sebezhetőségeket gyűjti.

A probléma a Nextcloudhoz telepíthető Collabora Online – Built-in CODE Server bővítményt érinti; nem általában a Nextcloud valamennyi változatát. A hiba CVSS 4.0 szerinti alappontszáma 9,2, azaz kritikus súlyosságú.

Hogyan működik a sérülékenység?

A gyártó október 14-én közzétett biztonsági figyelmeztetése szerint a richdocumentscode bővítmény proxy.php komponensében egy megfelelően összeállított hálózati kérés operációsrendszer-parancsot indíthat a webszerver jogosultságaival, bejelentkezés nélkül.

A kihasználáshoz meghatározott állapot szükséges: a beépített CODE-szervernek éppen nem szabad futnia. Ez előfordulhat például konténer-újraindítás, frissítés vagy összeomlás után. A sérülékenység a 26.4.303 előtti bővítményverziókat érinti; az önálló Collabora Online-kiszolgálók erre a konkrét hibára nem sérülékenyek.

Már szeptemberben sikeres kompromittálásokról számoltak be

A Collabora nyilvános GitHub-felületén szeptember 11-én megjelent incidensbeszámoló több Nextcloud-telepítés sikeres kompromittálását dokumentálta. Az érintett rendszereken 26.4.302-es bővítményverzió futott; a naplók szeptember 10-i és 11-i támadási kéréseket is tartalmaztak.

A támadók a kiszolgálókon olyan rosszindulatú PHP-fájlokat, úgynevezett webshellöket helyeztek el, amelyekkel szerveroldali parancsok futtathatók. Az egyik dokumentált esetben a webshellt később érzékeny hitelesítési és kriptotárca-állományok keresésére használták. A beszámoló azonban nem bizonyított konkrét fájlkimentést vagy adatlopást; a webkiszolgáló számára olvasható adatok bizalmasságát ettől még indokolt veszélyeztetettnek tekinteni.

A CISA október 23-i felvétele a KEV-katalógusba tovább erősítette a sérülékenység sürgősségét. Nem csupán elméleti támadási lehetőségről van szó.

Miért számít ez a pénzügyi szektorban?

A vállalati dokumentumkezelő és fájlmegosztó rendszerek szerződéseket, pénzügyi kimutatásokat, ügyféladatokat vagy más érzékeny állományokat tárolhatnak. A dokumentumszerkesztő komponens kompromittálódása ezért az alkalmazás mellett a hozzá kapcsolódó üzleti folyamatokra is hatással lehet.

A tényleges kockázat attól függ, hogy az adott webkiszolgáló milyen adatokhoz és jogosultságokhoz fér hozzá, illetve elérhető-e kívülről a sérülékeny szolgáltatás. A közzétett esetek nem igazolnak konkrét banki támadást, és nem jelentenek általános érintettséget minden Nextcloud-felhasználónál.

Mit vizsgáljanak most az üzemeltetők?

Először ellenőrizni kell, hogy az adott Nextcloudban telepítve van-e a richdocumentscode alkalmazás, és ha igen, milyen verzióban. A 26.4.303 előtti változatokat frissíteni vagy eltávolítani kell a gyártói útmutató szerint.

Azoknál a telepítéseknél, amelyek korábban sérülékenyek voltak, a javítás önmagában nem helyettesíti az incidensvizsgálatot. A szeptemberig visszamenő webkiszolgálói naplókban érdemes a /apps/richdocumentscode/proxy.php végponthoz érkező szokatlan kéréseket, a kódolt útvonalakat, váratlan PHP-fájlokat és ismeretlen szerverfolyamatokat keresni. Kompromittálódás gyanúja esetén az adat- és hozzáférésvédelmi lépések az incidenskezelési terv alapján határozhatók meg.

A történet tanulsága, hogy a dokumentumkezelő rendszerek kiegészítő moduljai ugyanolyan fontos részei a biztonsági felügyeletnek, mint a nyilvános banki vagy ügyfélportálok.