Administratoren von Nextcloud haben mehr zu tun, als nur einen Patch zu installieren. Hacker nutzen eine kritische Schwachstelle in der integrierten CODE-Server-App von Collabora aus, um Befehle auszuführen und PHP-Webshells auf gefährdeten Servern zu platzieren.
Die als CVE-2026-110447 erfasste Command-Injection-Schwachstelle betrifft Versionen der App richdocumentscode vor 26.4.303. Eine Ausnutzung ist möglich, wenn der lokale Dokumentenserver nicht läuft, etwa während eines Neustarts, Upgrades oder Absturzes. Seit dem 10. Sept. werden Angriffe beobachtet. Daher sind Prüfungen auf eine Kompromittierung auch für Organisationen wichtig, die bereits aktualisiert haben.
Collabora-Lücke legt eine bestimmte Nextcloud-Konfiguration offen
Bei der betroffenen Komponente handelt es sich um Collabora Online – Built-in CODE Server, eine optionale Nextcloud-App, die die Bearbeitung von Dokumenten ermöglicht, ohne dass ein separater Collabora-Server erforderlich ist. Nextcloud beschreibt sie als einfach zu installierende Option für den persönlichen Gebrauch oder kleine Teams, auch wenn ihr einige der Leistungs- und Skalierungsfunktionen einer eigenständigen Bereitstellung fehlen.
Collabora-Sicherheitshinweis zufolge kann die Lücke einem nicht authentifizierten Angreifer ermöglichen, Betriebssystembefehle auszuführen und zwar mit den Rechten des Webserver-Kontos, wenn der lokale CODE-Server offline ist. Der Anbieter behob das Problem in Version 26.4.303 und warnte, dass die Deaktivierung der App nicht ausreicht. Administratoren müssen sie aktualisieren oder entfernen. Eigenständige Collabora-Online-Server sind nicht betroffen.
Angreifer platzierten Webshells und suchten nach sensiblen Dateien
The Hacker News berichtete, dass mehrere Administratoren Hinweise auf eine Ausnutzung fanden, darunter im App-Verzeichnis von Collabora platzierte PHP-Webshells. Die Angreifer nutzten den Zugriff, um nach Dateien zu suchen, die mit Passwortmanagern, Kryptowährungs-Wallets und anderen sensiblen Daten in Verbindung stehen. Die von der Publikation geprüften Berichte zeigten nicht, dass die Angreifer Root-Zugriff erlangten.
Dieselben Berichte nannten shx*.php-Dateien als Indikatoren, nach denen Administratoren suchen sollten, ebenso wie verdächtige Anfragen an proxy.php?status, Merkmale einer Command Injection und fehlgeschlagene sudo-Versuche unter Verwendung des Webserver-Kontos.
Im ursprünglichen GitHub-Incident-Report, dokumentierte ein Administrator Payloads, die versucht hatten, Systeminformationen an Webhook-Callbacks zu senden. Die geprüften Anfragen enthielten keine Befehle zum Archivieren oder Hochladen von Dateien. Ein Diebstahl von Anmeldedatenspeichern oder anderen sensiblen Dateien ist daher nicht nachgewiesen. Dateien, auf die das kompromittierte Webserver-Konto zugreifen konnte, sollten jedoch als potenziell offengelegt betrachtet werden.
Sicherheitsteams sollten auf eine Kompromittierung prüfen, nicht nur patchen
Die Installation der korrigierten Version schließt den anfälligen Befehlsweg, entfernt jedoch keine Webshell, die möglicherweise bereits vorhanden ist. Server, auf denen die integrierte CODE-App verwendet wurde und die während des Zeitraums der Ausnutzung neu gestartet, aktualisiert wurden oder abgestürzt sind, sollten vorrangig überprüft werden.
Sicherheitsteams sollten:
- Installierte App und Version überprüfen. richdocumentscode auf Version 26.4.303 oder höher aktualisieren oder die App entfernen. Organisationen, die das End-of-Life-Produkt Nextcloud 29 oder eine frühere Version betreiben, sollten Nextcloud aktualisieren oder die App entfernen, wie Collabora empfiehlt.
- Nach früheren Angriffen suchen. apps/richdocumentscode/ auf unerwartete PHP-Dateien prüfen, einschließlich Dateien mit Namen, die dem Muster shx*.php entsprechen, sowie der gemeldeten Datei shrf4645.php. Aufbewahrte Zugriffsprotokolle mindestens bis zum 10. Sept. zurück überprüfen und dabei nach Anfragen an proxy.php?status mit Merkmalen einer Command Injection wie $( oder ${IFS} im Anfragepfad suchen. Fehlgeschlagene sudo-Versuche durch das Webserver-Konto untersuchen.
- Offengelegte Zugangsdaten und Daten bewerten. Ermitteln, welche Daten das Webserver-Konto lesen konnte, und relevante Zugangsdaten ändern, wenn Hinweise auf eine Kompromittierung gefunden werden.
Das Veröffentlichungsprotokoll von Collabora datiert Version 26.4.303 auf den 11. Sept., während der Sicherheitshinweis am 14. Okt. veröffentlicht wurde. Diese Lücke ist ein weiterer Grund für Sicherheitsteams, neben CVE-Feeds auch die Sicherheitshinweise der Anbieter und Anwendungsupdates zu überwachen, statt auf eine formelle Schwachstellenkennung zu warten.
Wenn Hinweise auf eine Kompromittierung gefunden werden, sollten relevante Protokolle und verdächtige Dateien gesichert, der betroffene Server isoliert und der Zugriff des Angreifers untersucht werden, bevor der Dienst wiederhergestellt wird. Bewerten Sie potenziell offengelegte Zugangsdaten, ändern Sie sie von einem vertrauenswürdigen System aus und ermitteln Sie, ob der Server neu aufgesetzt werden muss. Das Patchen schließt die Schwachstelle, entfernt jedoch keinen bestehenden Zugriff des Angreifers.
Lesen Sie auch: Wir haben außerdem darüber berichtet, wie Ahsays fehlgeschlagener Patch zwei ausgenutzte Backup-Schwachstellen offenließ, ein weiterer Fall, in dem Angreifer Server-Schwachstellen nutzten, um Webshells bereitzustellen.