CISA הוסיפה לקטלוג הפגיעויות המנוצלות (KEV) את CVE-2026-110447, פגיעות הזרקת פקודות בציון 9.2 ברכיב richdocumentscode (שרת CODE המובנה של Collabora Online) בשרתי Nextcloud. מנהלי מערכת דיווחו שתוקפים השתמשו בה כדי להשאיר web shell.
| מזהה | CVE-2026-110447 |
| מוצר מושפע | Collabora Online Built-in CODE Server (richdocumentscode), כל הגרסאות עד 26.4.302; שרתי Collabora עצמאיים אינם מושפעים |
| חומרה | CVSS 9.2 (קריטית) |
| מנוצל בפועל | כן, לפי הוספה ל-KEV ודיווחי מנהלי מערכת |
| תיקון | 26.4.303 ואילך; דורש Nextcloud 30 ומעלה |
מה קרה
הסקריפט proxy.php שילב טקסט מהבקשה, כולל הנתיב, בתוך פקודת bash, ולכן בקשה לא מאומתת עם פקודה בנתיב יכולה לרוץ כמשתמש שרת הווב. התנאי: הפגיעות פועלת רק כשהשרת המקומי של המסמכים אינו פעיל, למשל בזמן הפעלה מחדש, שדרוג או קריסה.
לפי הדיווחים, הניצול הראשון נרשם ב-10 בספטמבר 2026. התוקף הפיל קובץ PHP בן שורה אחת בתיקיית האפליקציה, ובשרת אחד חיפש מאגרי סיסמאות וארנקי קריפטו. לא נמצאו עדויות להרשאות root. התיקון יצא ב-11 בספטמבר, וה-advisory וה-CVE פורסמו ב-14 באוקטובר.
נקודות לשים לב
- עדכן את richdocumentscode ל-26.4.303 ומעלה. ב-Nextcloud 29 ומטה אי אפשר להתקין את התיקון, ולכן יש לשדרג את Nextcloud או להסיר את האפליקציה.
- כיבוי האפליקציה לא סוגר את הפגיעות; הסרה או עדכון כן.
- גם אם כבר עדכנת, חפש בתיקייה
apps/richdocumentscode/קבצים בשםshx*.phpומחק אותם. התיקון לא מסיר דלת אחורית שכבר הושארה. - עבור על יומני הגישה מ-10 בספטמבר ואילך וחפש בקשות ל-
/apps/richdocumentscode/proxy.phpעם$(,${IFS}או%2e%2eבנתיב, וגם ניסיונותsudoכושלים של משתמש שרת הווב. - התייחס לכל מה שמשתמש שרת הווב יכול לקרוא כחשוף אפשרי, כולל מפתחות וסיסמאות. הדיווחים לא הראו הוצאת קבצים, אבל גם לא שללו אותה.
מקורות: Collabora Security Advisory · The Hacker News · CISA
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
