Nextcloud і Collabora CODE (CVE-2026-110447): оновити або видалити

Коротко

CVE-2026-110447 — впровадження команд операційної системи у файлі proxy.php вбудованого сервера CODE (застосунок richdocumentscode) для Nextcloud. Оцінка CVSS 4.0 — 9.2, вхід у систему не потрібен. Виправлено у версії застосунку 26.4.303 від 11 вересня 2026 року.

Важлива особливість

Вразливість спрацьовує, коли вбудований сервер CODE не запущено. Через це вимкнення застосунку в інтерфейсі Nextcloud проблему НЕ розв’язує — розробник наголошує на цьому окремо. Допомагає тільки оновлення або повне видалення застосунку.

Окремо розгорнуті сервери Collabora Online не уражені: вразливий саме вбудований варіант.

Як перевірити

sudo -u www-data php /var/www/nextcloud/occ app:list | grep -i richdocuments
sudo -u www-data php /var/www/nextcloud/occ app:get richdocumentscode installed_version

Версія нижча за 26.4.303 означає, що ви вразливі.

Оновлення

sudo -u www-data php /var/www/nextcloud/occ app:update richdocumentscode
sudo -u www-data php /var/www/nextcloud/occ app:get richdocumentscode installed_version

Застосунок вимагає Nextcloud 30 або новіший. Якщо у вас Nextcloud 29 чи старіший, оновіть сам Nextcloud або видаліть застосунок:

sudo -u www-data php /var/www/nextcloud/occ app:remove richdocumentscode

Про вибір версії

Виправленою вважається 26.4.303 і новіша. Версія 26.4.402, що вийшла 24 вересня, у частини адміністраторів не запускалася, і допомагав відкат на 26.4.303; 23 жовтня вийшла 26.4.502. Якщо після оновлення застосунок не стартує, відкат на 26.4.303 залишається безпечним — вона вже містить виправлення.

Перевірте, чи не залишили закладку

Атаки тривають приблизно з 10 вересня 2026 року, і в них розміщували веб-шели на PHP. Розробник радить після оновлення видалити залишені файли виду shx*.php.

find /var/www/nextcloud -name 'shx*.php' -ls
find /var/www/nextcloud -name '*.php' -newermt '2026-09-01' -ls | head -50

Будь-який файл PHP у каталогах даних або в тимчасових теках, якого немає в дистрибутиві, — привід для розслідування, а не для простого видалення: спершу збережіть копію та журнали.

Що ще перевірити після оновлення

Облікові записи адміністраторів Nextcloud: чи не з’явилося нових.
Паролі застосунків: occ user:auth-tokens:list імʼя_користувача.
Завдання cron від користувача вебсервера.
Вихідні з’єднання сервера — веб-шели часто звертаються назовні.

Поширені запитання

Я вимкнув застосунок, цього достатньо?

Ні. Розробник прямо вказує, що вимкнення не усуває вразливість. Оновіть або видаліть застосунок.

У мене окремий сервер Collabora, а не вбудований

Окремі сервери Collabora Online цією вразливістю не уражені.

Nextcloud за зворотним проксі, це захищає?

Ні: запит проходить через проксі до застосунку. Захищає лише оновлення.

Як зрозуміти, що мене вже атакували?

Шукайте файли shx*.php, нові файли PHP у каталогах Nextcloud починаючи з вересня та незвичні записи в журналі вебсервера зі зверненнями до proxy.php.