Nextcloud и Collabora CODE (CVE-2026-110447): обновить или удалить

Коротко

CVE-2026-110447 — внедрение команд операционной системы в файле proxy.php встроенного сервера CODE (приложение richdocumentscode) для Nextcloud. Оценка CVSS 4.0 — 9.2, вход в систему не требуется. Исправлено в версии приложения 26.4.303 от 11 сентября 2026 года.

Важная особенность

Уязвимость срабатывает, когда встроенный сервер CODE не запущен. Из-за этого отключение приложения в интерфейсе Nextcloud проблему НЕ решает — разработчик указывает на это отдельно. Помогает только обновление или полное удаление приложения.

Отдельно стоящие серверы Collabora Online не затронуты: уязвим именно встроенный вариант.

Как проверить

sudo -u www-data php /var/www/nextcloud/occ app:list | grep -i richdocuments
sudo -u www-data php /var/www/nextcloud/occ app:get richdocumentscode installed_version

Версия ниже 26.4.303 означает, что вы уязвимы.

Обновление

sudo -u www-data php /var/www/nextcloud/occ app:update richdocumentscode
sudo -u www-data php /var/www/nextcloud/occ app:get richdocumentscode installed_version

Приложению требуется Nextcloud 30 или новее. Если у вас Nextcloud 29 или старше, обновите сам Nextcloud либо удалите приложение:

sudo -u www-data php /var/www/nextcloud/occ app:remove richdocumentscode

Про выбор версии

Исправленной считается 26.4.303 и новее. Вышедшая 24 сентября версия 26.4.402 у части администраторов не запускалась, и помогал откат на 26.4.303; 23 октября вышла 26.4.502. Если после обновления приложение не стартует, откат на 26.4.303 остаётся безопасным — она уже содержит исправление.

Проверьте, не оставили ли закладку

Атаки идут примерно с 10 сентября 2026 года, и в них размещали веб-шеллы на PHP. Разработчик советует после обновления удалить оставшиеся файлы вида shx*.php.

find /var/www/nextcloud -name 'shx*.php' -ls
find /var/www/nextcloud -name '*.php' -newermt '2026-09-01' -ls | head -50

Любой файл PHP в каталогах данных или во временных папках, которого нет в поставке, — повод для разбирательства, а не для простого удаления: сначала сохраните копию и журналы.

Что ещё проверить после обновления

1. Учётные записи администраторов Nextcloud: не появилось ли новых.
2. Пароли приложений: occ user:auth-tokens:list имя_пользователя.
3. Задания cron от пользователя веб-сервера.
4. Исходящие соединения сервера — веб-шеллы часто обращаются наружу.

Частые вопросы

Я отключил приложение, этого достаточно?

Нет. Разработчик прямо указывает, что отключение не устраняет уязвимость. Обновите или удалите приложение.

У меня отдельный сервер Collabora, а не встроенный

Отдельные серверы Collabora Online не затронуты этой уязвимостью.

Nextcloud за обратным прокси, это защищает?

Нет: запрос проходит через прокси к приложению. Защищает только обновление.

Как понять, что меня уже атаковали?

Ищите файлы shx*.php, новые файлы PHP в каталогах Nextcloud начиная с сентября и необычные записи в журнале веб-сервера с обращениями к proxy.php.