Nextcloudの管理者が行うべきことは、パッチの適用だけではない。ハッカーがCollaboraの組み込みCODE Serverアプリに存在する重大な脆弱性を悪用し、コマンドを実行して、脆弱なサーバーにPHP Webシェルを仕込んでいる。
CVE-2026-110447として追跡されているこのコマンドインジェクションの脆弱性は、richdocumentscodeアプリのバージョン26.4.303未満に影響する。ローカルのドキュメントサーバーが停止している場合に悪用可能で、再起動中やアップグレード中、クラッシュ後も含まれる。攻撃は9月10日から確認されており、すでに更新済みの組織でも侵害の有無を確認することが重要だ。
Collaboraの脆弱性、特定のNextcloud構成を露呈
影響を受けるコンポーネントはCollabora Online - Built-in CODE Serverで、別個のCollaboraサーバーを必要とせずに文書編集を可能にする、オプションのNextcloudアプリだ。Nextcloudは、個人利用や小規模チーム向けのインストールが容易な選択肢だと説明している。ただし、スタンドアロン構成に備わるパフォーマンスやスケーラビリティ機能の一部はない。
Collaboraのセキュリティアドバイザリーは、ローカルのCODEサーバーがオフラインの場合、認証されていない攻撃者がWebサーバーアカウントの権限でOSコマンドを実行できる可能性があると述べている。ベンダーはバージョン26.4.303で問題を修正し、アプリを無効にするだけでは不十分だと警告した。管理者はアプリを更新するか、削除しなければならない。スタンドアロンのCollabora Onlineサーバーは影響を受けない。
攻撃者はWebシェルを仕込み、機密ファイルを検索
The Hacker Newsは、複数の管理者が悪用の証拠を発見したと報じた。これには、Collaboraアプリのディレクトリに配置されたPHP Webシェルも含まれる。攻撃者はこのアクセスを利用して、パスワードマネージャーや暗号資産ウォレット、その他の機密データに関連するファイルを検索していた。同誌が確認した報告からは、攻撃者がroot権限を取得したことは確認されていない。
同じ報道では、管理者が調査すべき痕跡としてshx*.phpファイルも挙げられている。ほかにも、不審なproxy.php?statusリクエスト、コマンドインジェクションの痕跡、Webサーバーアカウントによるsudo実行の失敗などがある。
元の GitHubインシデント報告では、ある管理者が、システム情報をWebhookコールバックに送信しようとしたペイロードを記録している。確認されたリクエストには、ファイルをアーカイブまたはアップロードするコマンドは見られなかったため、認証情報ストアやその他の機密ファイルが窃取されたことは立証されていない。ただし、侵害されたWebサーバーアカウントからアクセス可能なファイルは、漏えいした可能性があるものとして扱うべきだ。
セキュリティチームはパッチを適用するだけでなく、侵害の有無を確認すべき
修正版をインストールすれば脆弱なコマンド経路は閉じられるが、すでに存在する可能性のあるWebシェルは削除されない。組み込みCODEアプリを使用しており、悪用期間中に再起動、アップグレード、またはクラッシュが発生したサーバーを優先的に調査すべきだ。
セキュリティチームが行うべきことは次のとおりだ。
- インストール済みのアプリとバージョンを確認する。richdocumentscodeを26.4.303以降にアップグレードするか、削除する。サポート終了済みのNextcloud 29以前を実行している組織は、Collaboraの助言に従い、Nextcloudをアップグレードするかアプリを削除すべきだ。
- 過去の悪用を捜索する。apps/richdocumentscode/を調べ、shx*.phpや報告されたshrf4645.phpなど、予期しないPHPファイルがないか確認する。少なくとも9月10日までさかのぼって保存済みのアクセスログを確認し、リクエストパスに$(や${IFS}などのコマンドインジェクションの痕跡を含む、proxy.php?statusを標的としたリクエストを探す。Webサーバーアカウントによるsudo実行の失敗も調査する。
- 露出した認証情報とデータを評価する。Webサーバーアカウントが読み取れた情報を特定し、侵害の兆候が見つかった場合は関連する認証情報を更新する。
Collaboraの リリース記録では、バージョン26.4.303の日付は9月11日となっている。一方、セキュリティアドバイザリーの公開日は10月14日だった。この空白期間は、正式な脆弱性識別子を待つのではなく、CVEフィードと併せてベンダーのアドバイザリーやアプリケーションの更新も監視すべき理由となる。
侵害の証拠が見つかった場合は、関連するログと不審なファイルを保全し、影響を受けたサーバーを封じ込め、サービスを復旧する前に攻撃者のアクセスを調査する。 露出した可能性のある認証情報を評価し、信頼できるシステムから更新するとともに、サーバーの再構築が必要かどうかを判断する。パッチを適用すれば脆弱性は解消されるが、攻撃者による既存のアクセスは削除されない。
こちらも読む： Ahsayのパッチ失敗により、悪用された2件のバックアップ脆弱性が放置された事例—攻撃者がサーバーの脆弱性を悪用してWebシェルを展開した、別のケースだ。