Nextcloud'un yerleşik belge sunucusundaki açık eylülden beri sunuculara arka kapı bırakmak için kullanılıyor

Kurumların kendi dosya paylaşım sistemi olarak kullandığı Nextcloud’da, belgeleri tarayıcıda düzenlemeye yarayan Collabora Online’ın yerleşik sürümündeki bir açık saldırılarda kullanılıyor. Açık, Nextcloud uygulama mağazasından “Collabora Online - Built-in CODE Server” adıyla kurulan uygulamayı etkiliyor. Bu uygulama, ayrı bir belge sunucusu kurmak yerine belge sunucusunu doğrudan Nextcloud’un çalıştığı makinede çalıştırıyor. CVE-2026-110447 numaralı açığın CVSS 4.0 puanı 9.2.

Açık, uygulamanın proxy.php dosyasının gelen istekteki metinle bir kabuk komutu oluşturmasından kaynaklanıyor. Kimliği doğrulanmamış bir saldırgan, isteğin içine yerleştirdiği komutu web sunucusu kullanıcısının yetkisiyle çalıştırabiliyor. Bunun için yerel belge sunucusunun o an çalışmıyor olması gerekiyor, bu da sunucunun yeniden başlatıldığı, güncellendiği ya da çöktüğü anlarda oluyor.

Saldırıları, kendi sunucularında iz bulan üç sistem yöneticisi GitHub’da bildirdi. İlk saldırı 10 Eylül’de kaydedildi. Saldırganlar uygulamanın klasörüne shx ile başlayan adlarla PHP web kabukları bıraktı ve sunucu bilgilerini dışarıdaki bir adrese gönderdi. Bir sunucuda parola yöneticisi ve kripto para cüzdanı dosyaları da arandı. Root yetkisi alındığına dair bir bulgu yok. Düzeltme 11 Eylül’de 26.4.303 sürümüyle yayımlandı, ancak açığa ait bildirim ve CVE kaydı 14 Ekim’de yayımlandı. Daha önce kapatılan CVE-2025-66208’in düzeltmesi bu açığı engellemiyor.

Önerilen önlemler

Built-in CODE Server kullananların uygulamayı 26.4.303 ya da sonrasına güncellemesi veya tamamen kaldırması gerekiyor. Uygulamayı yalnızca devre dışı bırakmak yeterli değil. Güncel sürüm Nextcloud 30 ve sonrasını gerektiriyor. Desteği bitmiş Nextcloud 29 ve öncesinde düzeltme kurulamadığı için Nextcloud’un yükseltilmesi ya da uygulamanın kaldırılması gerekiyor. Bazı kurulumlarda 26.4.402 sürümünün sorun çıkardığı ve yöneticilerin 26.4.303’e geri döndüğü bildiriliyor.

Saldırılar düzeltmeden önce başladığı için, uygulamanın klasöründe shx ile başlayan PHP dosyaları aranmalı ve erişim kayıtlarında en az 10 Eylül’e kadar geriye gidilerek proxy.php’ye yapılan olağandışı istekler incelenmeli. Web sunucusu kullanıcısının okuyabildiği her dosyanın açığa çıkmış olabileceği kabul edilmeli ve bu dosyalardaki parolalar ile erişim anahtarları değiştirilmeli. Kendi belge sunucusunu ayrı kuran kurumlar bu açıktan etkilenmiyor.