Встроенный офис Nextcloud под атакой: отключить Collabora недостаточно

Администраторам Nextcloud со встроенным сервером Collabora стоит проверить обновления без промедления. В приложении Collabora Online — Built-in CODE Server нашли критическую уязвимость: посторонний может выполнить команды на сервере без входа в учётную запись. CERT.LV предупреждает, что её уже используют в реальных атаках.

У этой ошибки есть неприятная особенность: атака возможна, когда встроенный CODE Server не работает. Например, после сбоя, при обновлении или перезапуске контейнера. При этом простое отключение приложения проблему не устраняет. Разработчик требует обновить его до версии 26.4.303 или новее либо удалить.

Где находится брешь

Речь о компоненте richdocumentscode — приложении, которое запускает встроенный CODE Server внутри установки Nextcloud. Именно его название и версию нужно искать в списке приложений. Уязвимы выпуски ниже 26.4.303, включая 26.4.302.

Ошибка получила номер CVE-2026-110447 и оценку критичности 9,2 из 10 по CVSS 4.0. В бюллетене Collabora описана инъекция команд в компоненте proxy.php: входящий запрос позволяет запустить команду операционной системы с правами пользователя веб-сервера. Для этого не нужны ни учётная запись, ни действия человека на стороне Nextcloud.

Ещё 3 октября в сообществе Nextcloud призвали срочно обновиться и сообщили об обнаруженных на серверах веб-шеллах — инструментах удалённого управления, оставленных злоумышленниками.

Collabora опубликовала бюллетень 14 октября, а CERT.LV 15-го предупредила об активных атаках.

Кому нужно обновляться

Всё зависит от способа подключения офисного редактора. Отдельно установленный сервер Collabora Online эта уязвимость не затрагивает.

В обсуждении Nextcloud к незатронутым вариантам отнесены Collabora в Docker, установка из пакета Linux и услуга внешнего хостинга Collabora. Само наличие интеграционного приложения richdocuments без richdocumentscode тоже не означает наличие этой ошибки.

Для встроенного сервера порядок другой: проверить версию richdocumentscode и установить 26.4.303 или более свежий выпуск. Если обновить приложение нельзя, разработчик указывает второй выход — удалить его. Оставить установленным и просто выключить недостаточно.

Владельцам Nextcloud 29 и более ранних версий Collabora отдельно рекомендует обновить сам Nextcloud либо удалить встроенный CODE Server: эти ветки Nextcloud уже сняты с поддержки.

Старое исправление не подойдёт

Нынешняя ошибка отличается от прежней CVE-2025-66208. В бюллетене Collabora прямо указано, что они относятся к разным путям выполнения кода, поэтому исправление предыдущей уязвимости от нынешней не защищает. Ориентир для встроенного CODE Server здесь конкретный: richdocumentscode 26.4.303.

#новости #security #software
@digitaltimeslv

Илл. Редактор презентаций Collabora Online в Nextcloud Office, 2025 год.