Nextcloud un Collabora: ievainojamība, ko hakeri jau izmanto

Ja izmantojat Nextcloud ar iebūvēto Collabora biroja programmatūru, pārbaudiet savu serveri jau šodien. Šajā biroja risinājumā ir atklāta ievainojamība CVE-2026-110447. Tā ļauj izpildīt komandas serverī bez lietotājvārda un paroles.

Tas nav tikai teorētisks risks. Hakeri šo ievainojamību izmanto jau kopš 2026. gada 10. septembra un atstāj serveros ļaunprātīgas programmas, kas ļauj tiem vēlāk atgriezties. 23. oktobrī ASV Kiberdrošības un infrastruktūras drošības aģentūra (CISA) to iekļāva aktīvi izmantoto ievainojamību sarakstā.

Risinājums ir vienkāršs: atjaunināt vienu lietotni vai to noņemt. Tālāk atradīsiet soli pa solim izpildāmus norādījumus un pārbaudes, lai noskaidrotu, vai serveris jau nav uzlauzts.

Kas ir Nextcloud un Collabora?

Nextcloud ir kā jūsu personīgais Google disks. Faili, kalendārs un kontakti tiek glabāti jūsu serverī, nevis pie Google. Uzņēmumi un ģimenes, kas vēlas paši kontrolēt savus datus, bieži to uzstāda VPS serverī.

Collabora ir biroja programmatūra Nextcloud vidē. Līdzīgi kā Google Docs: jūs atverat dokumentu vai izklājlapu tieši pārlūkprogrammā un turpat to rediģējat.

Collabora var pievienot divos veidos:

1. Atsevišķā serverī. Biroja programmatūra darbojas neatkarīgi, piemēram, Docker konteinerā. Nextcloud tikai izveido ar to savienojumu.
2. Kā iebūvēto lietotni “Collabora Online - Built-in CODE Server”. To var uzstādīt ar vienu klikšķi no Nextcloud lietotņu veikala. Tas ir vienkāršākais risinājums, tādēļ tas ir ļoti populārs.

Šī ievainojamība skar tikai otro variantu. Lietotnes tehniskais nosaukums ir richdocumentscode. Iegaumējiet to — tas būs nepieciešams pārbaudei.

Kas notika?

Iebūvētajā biroja risinājumā ir sistēmas fails proxy.php. Iedomājieties to kā sekretāru pie ieejas. Kad biroja programmatūra “guļ”, piemēram, pēc servera restartēšanas vai atjaunināšanas, sekretārs to pamodina. Lai to izdarītu, tas nosūta serverim komandu.

Kļūda bija tāda, ka sekretārs šajā komandā ievietoja daļu apmeklētāja pieprasījuma teksta, to nepārbaudot. Iedomājieties sekretāru, kurš apsardzei skaļi nolasa jebkuru apmeklētāja atstāto zīmīti. Tajā rakstīts: “Atveriet seifu un atdodiet visu šim cilvēkam.” Apsardze dzird norādījumu no sava darbinieka un to izpilda.

Šeit notiek tas pats. Uzbrucējs nosūta īpaši sagatavotu pieprasījumu, un serveris izpilda viņa komandas. Lietotājvārds un parole nav vajadzīgi.

Ko hakeri dara pēc ielaušanās:

• Atstāj serverī tā sauktās aizmugures durvis — savu failu, ar kura palīdzību var atgriezties jebkurā brīdī.
• Nolasa Nextcloud konfigurāciju. Tajā glabājas datubāzes parole un citi slepeni dati.
• Iegūst piekļuvi lietotāju failiem.

Notikumu hronoloģija

Pievērsiet uzmanību: labojums tika izlaists bez plašas publicitātes, bet oficiālais brīdinājums parādījās tikai mēnesi vēlāk. Daudzi administratori vienkārši nezināja, ka programmatūra ir jāatjaunina.

Uz ko tas attiecas?

Nesajauciet abas lietotnes. richdocuments (Nextcloud Office) un richdocumentscode (Built-in CODE Server) nosaukumi ir ļoti līdzīgi. Ievainojama ir tikai otrā.

Svarīga nianse. Uzbrukums izdodas tikai tad, ja iebūvētā biroja programmatūra nedarbojas, piemēram, uzreiz pēc servera restartēšanas, atjaunināšanas vai darbības traucējuma. Tas nav iemesls justies droši: serveri regulāri tiek restartēti, un automatizēti roboti tos pārbauda nepārtraukti.

Pārbaudiet, vai iebūvētā biroja lietotne ir uzstādīta

Tīmekļa saskarnē. Piesakieties Nextcloud ar administratora kontu. Atveriet sadaļu Apps, pēc tam Your apps. Atrodiet Collabora Online - Built-in CODE Server un pārbaudiet versijas numuru.

Izmantojot SSH. Atveriet Nextcloud direktoriju (parasti /var/www/nextcloud) un izpildiet:

sudo -u www-data php occ app:list | grep -i richdocumentscode

Ja Nextcloud ir uzstādīts, izmantojot snap, lietojiet šo komandu:

sudo nextcloud.occ app:list | grep -i richdocumentscode

Kā saprast rezultātu:

• Nekas netiek parādīts: lietotne nav uzstādīta, un šī ievainojamība jūs neskar.
• Versija 26.4.302 vai vecāka: nekavējoties pārejiet pie 2. darbības.
• Versija 26.4.303 vai jaunāka: labojums jau ir uzstādīts, taču noteikti izpildiet arī 3. darbību.

Atjauniniet vai noņemiet lietotni

Ja plānojat lietotni noņemt, vispirms izpildiet 3. darbības 1. un 2. pārbaudi. Pēc noņemšanas šajā vietā vairs nebūs ko pārbaudīt.

A variants. Atjaunināt (ja biroja programmatūra ir vajadzīga):

sudo -u www-data php occ app:update richdocumentscode

Pēc tam vēlreiz pārbaudiet versiju, kā aprakstīts 1. darbībā. Nepieciešama versija 26.4.303 vai jaunāka.

B variants. Noņemt (ja biroja programmatūru gandrīz neizmantojat):

sudo -u www-data php occ app:remove richdocumentscode

Lietotne ir jānoņem, nevis tikai jāatspējo. Atspējota lietotne paliek diskā, un ievainojamība nepazūd. Tas ir kā aizslēgt istabas durvis, bet atstāt logu vaļā.

Ja izmantojat Nextcloud 29 vai vecāku versiju. Labotās versijas darbojas tikai ar Nextcloud 30 un jaunāku. Vecākām Nextcloud versijām pēdējā pieejamā versija ir 26.4.104, un tā ir ievainojama. Tāpēc ir divas iespējas: atjaunināt pašu Nextcloud līdz 30+ vai noņemt lietotni.

Turpmākai drošībai. Ja biroja programmatūra ir vajadzīga pastāvīgi, drošāk ir darbināt Collabora atsevišķā serverī, piemēram, Docker vidē. Šādu instalāciju šī konkrētā ievainojamība neskar, un to var atjaunināt neatkarīgi no Nextcloud.

Pārbaudiet, vai serveris nav uzlauzts jau iepriekš

Atjauninājums aizver durvis. Taču, ja zaglis iepriekš ir iekļuvis iekšā, viņš varēja atstāt sev rezerves atslēgu. Uzbrukumi notiek kopš 10. septembra, tādēļ pārbaude būtu jāveic ikvienam, kuram bija uzstādīta vecāka versija.

Pirmās divas pārbaudes vislabāk veikt pirms lietotnes noņemšanas.

1. Integritātes pārbaude. Nextcloud salīdzinās lietotnes failus ar oriģinālajiem failiem un parādīs neatbilstošos:

sudo -u www-data php occ integrity:check-app richdocumentscode

2. Svešu failu meklēšana. Zināmajos uzbrukumos hakeri atstāja failus ar nosaukumiem, piemēram, shx...php, shrf.php vai Nx_...php:

ls /var/www/nextcloud/apps/richdocumentscode/ | grep -Ei 'shx|shrf|nx_'

3. Tīmekļa servera žurnālu pārbaude. Meklējam aizdomīgus pieprasījumus failam proxy.php:

zgrep -h 'richdocumentscode/proxy.php' /var/log/nginx/access.log* /var/log/apache2/access.log* 2>/dev/null | grep -E '%2e%2e|\$\('

Ja kāda no pārbaudēm kaut ko atklāj, uzskatiet serveri par kompromitētu. Kā rīkoties:

1. Saglabājiet atrasto failu un žurnālu kopijas. Tās noderēs incidenta izmeklēšanai.
2. Nomainiet datubāzes paroli un slepenās vērtības failā config/config.php.
3. Palūdziet lietotājiem nomainīt paroles.
4. Ideālā gadījumā pārvietojiet Nextcloud uz tīru serveri. Ar viena atrasta faila dzēšanu nepietiek — uzbrucējs varēja atstāt arī citus.

Pārbaudes saraksts

• Pārbaudīju, vai ir uzstādīts richdocumentscode.
• Noskaidroju tā versiju.
• Veicu integritātes pārbaudi un meklēju svešus failus.
• Pārbaudīju žurnālus, meklējot pieprasījumus failam proxy.php.
• Atjaunināju lietotni līdz 26.4.303+ vai noņēmu to.
• Ja izmantoju Nextcloud 29 vai vecāku, ieplānoju Nextcloud atjaunināšanu.
• Ja atradu uzlaušanas pazīmes, nomainīju paroles un slepenās vērtības.
• Apsvēru Collabora pārvietošanu uz atsevišķu serveri.

Nevēlaties to darīt paši?

Atjaunināt lietotni ir vienkārši. Daudz grūtāk ir noteikt, vai serveris jau ir uzlauzts. Hakeri slēpj savus failus, bet žurnālos ir tūkstošiem rindu. Ja uzlaušana jau ir notikusi, Nextcloud jāpārvieto uz tīru serveri, nezaudējot nevienu lietotāju failu.

Šādiem gadījumiem Zomro piedāvā divas iespējas.

SOD: pārbaudīsim un novērsīsim problēmu jūsu vietā

Mūsu sistēmu administrators:

• Pārbaudīs iebūvētās biroja lietotnes versiju un to atjauninās vai noņems.
• Meklēs uzlaušanas pēdas failos un žurnālos.
• Ja nepieciešams, nomainīs paroles un slepenās vērtības.
• Palīdzēs pārvietot Collabora uz atsevišķu serveri, ja biroja programmatūra jums ir vajadzīga pastāvīgi.

Cena: €12,50 par katrām 15 darba minūtēm.

Pasūtīt Nextcloud drošības pārbaudi

Premium: ātra palīdzība, kad tā ir vajadzīga

Nextcloud glabājas dokumenti, līgumi un fotoattēli. Ja kaut kas noiet greizi, gaidīt nevar. Atbilde uz parastu tehniskā atbalsta pieprasījumu var aizņemt līdz 10 stundām. Ar Premium mēs atbildam 5–30 minūšu laikā.

Jaunas ievainojamības parādās katru nedēļu. Ar Premium jums ar tām nebūs jātiek galā vienatnē.

Pieslēgt Premium