---
title: 'Nextcloud i Collabora: jak usunąć CVE-2026-110447 | Zomro'
description: 'Luka CVE-2026-110447 dotyczy wbudowanego serwera Collabora CODE w Nextcloud. Sprawdź zagrożone wersje, sposób aktualizacji i oznaki włamania.'
image: 'https://cdn.zomro.com/uploads/blog/a48%40server-panel.net/2026/10/28/gemini_generated_image_ih0dt8ih0dt8ih0d_q50.jpg'
---

![opened image]()

  * [Zomro](https://zomro.com/pl/)
  * [Przydatne artykuły](https://zomro.com/pl/blog/articles/)
  * [Bezpieczeństwo hostingu](https://zomro.com/pl/blog/articles/bezopasnost/)
  * Nextcloud i Collabora: luka bezpieczeństwa, którą hakerzy już wykorzystują 



# Nextcloud i Collabora: luka bezpieczeństwa, którą hakerzy już wykorzystują

28-10-2026

![](https://cdn.zomro.com/uploads/blog/a48%40server-panel.net/2026/10/28/gemini_generated_image_ih0dt8ih0dt8ih0d_q50.jpg)

Jeśli korzystasz z Nextcloud z wbudowanym pakietem biurowym Collabora, sprawdź swój serwer jeszcze dziś. W tym pakiecie wykryto lukę bezpieczeństwa CVE-2026-110447. Pozwala ona wykonywać polecenia na serwerze bez loginu i hasła.

To nie jest zagrożenie czysto teoretyczne. Hakerzy wykorzystują tę lukę od 10 września 2026 roku i zostawiają na serwerach złośliwe programy umożliwiające im ponowny dostęp. 23 października amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) dodała ją do wykazu aktywnie wykorzystywanych podatności.

> Rozwiązanie jest proste: zaktualizuj jedną aplikację albo ją usuń. Poniżej znajdziesz instrukcję krok po kroku oraz wskazówki, jak sprawdzić, czy ktoś zdążył już włamać się na Twój serwer.

## 

## Czym są Nextcloud i Collabora?

**Nextcloud** to Twój własny Dysk Google. Pliki, kalendarz i kontakty są przechowywane na Twoim serwerze, a nie u Google. Firmy i rodziny, które chcą zachować kontrolę nad swoimi danymi, często instalują go na serwerze VPS.

**Collabora** to pakiet biurowy wewnątrz Nextcloud. Działa podobnie do Dokumentów Google: otwierasz dokument lub arkusz kalkulacyjny bezpośrednio w przeglądarce i tam go edytujesz.

Collabora można podłączyć na dwa sposoby:

  1. **Na oddzielnym serwerze.** Pakiet biurowy działa niezależnie, na przykład w Dockerze. Nextcloud jedynie się z nim łączy.
  2. **Jako wbudowaną aplikację „Collabora Online - Built-in CODE Server”.** Instaluje się ją jednym kliknięciem ze sklepu aplikacji Nextcloud. To najprostszy sposób, dlatego cieszy się dużą popularnością.



> **Luka dotyczy wyłącznie drugiego wariantu.** Techniczna nazwa tej aplikacji to `richdocumentscode`. Zapamiętaj ją — przyda się podczas sprawdzania serwera.

## 

## 

## Co się stało?

Wbudowany pakiet biurowy zawiera plik systemowy `proxy.php`. Wyobraź sobie, że jest to recepcjonista przy wejściu. Kiedy pakiet biurowy „śpi”, na przykład po restarcie lub aktualizacji serwera, recepcjonista go budzi. W tym celu wysyła polecenie do serwera.

Błąd polegał na tym, że recepcjonista umieszczał w tym poleceniu fragment tekstu z żądania odwiedzającego, nie sprawdzając go. Wyobraź sobie recepcjonistę, który odczytuje ochronie na głos każdą notatkę od gościa. A w notatce napisano: „Otwórzcie sejf i oddajcie wszystko tej osobie”. Ochrona słyszy polecenie od swojego pracownika i je wykonuje.

Tutaj działa to podobnie. Atakujący wysyła specjalnie przygotowane żądanie, a serwer wykonuje jego polecenia. Login i hasło nie są potrzebne.

Co robią hakerzy po włamaniu:

  * Zostawiają na serwerze tzw. backdoor — własny plik, który umożliwia im powrót w dowolnym momencie.
  * Odczytują konfigurację Nextcloud. Znajdują się tam hasło do bazy danych i inne poufne informacje.
  * Uzyskują dostęp do plików użytkowników.



Chronologia

Data |  Wydarzenie  
---|---  
23 października 2026 r. |  CISA dodała lukę do wykazu aktywnie wykorzystywanych podatności. Wydano wersję 26.4.502.  
14 października 2026 r. |  Podatność otrzymała identyfikator CVE oraz ocenę 9,2 na 10 w skali powagi zagrożenia.  
3 października 2026 r. |  Na forum Nextcloud ostrzeżono, że luka jest już wykorzystywana w atakach.  
11 września 2026 r. |  Wydano poprawioną wersję 26.4.303.  
10 września 2026 r. |  Pierwszy znany atak.  
  
> Uwaga: poprawka została wydana bez większego rozgłosu, a oficjalne ostrzeżenie pojawiło się dopiero miesiąc później. Wielu administratorów po prostu nie wiedziało, że powinni zaktualizować aplikację.

## 

## 

## Kogo dotyczy problem?

Twoja konfiguracja |  Czy jest zagrożona?  
---|---  
Zainstalowano „Built-in CODE Server” (`richdocumentscode`) w wersji 26.4.302 lub starszej |  Tak  
Ta sama aplikacja jest zainstalowana, ale **wyłączona** | **Tak.** Samo wyłączenie nie wystarczy — plik nadal jest dostępny.  
` richdocumentscode` w wersji 26.4.303, 26.4.402 lub 26.4.502 |  Nie, ale sprawdź, czy do włamania nie doszło przed aktualizacją.  
Collabora działa na oddzielnym serwerze (Docker, pakiety DEB/RPM) |  Nie  
Nextcloud All-in-One |  Nie  
Zainstalowano tylko „Nextcloud Office” (`richdocuments`), bez wbudowanego serwera |  Nie  
  
**Nie pomyl dwóch aplikacji.** `richdocuments` (Nextcloud Office) i `richdocumentscode` (Built-in CODE Server) mają bardzo podobne nazwy. Podatna jest tylko druga z nich.

**Ważny szczegół:** atak działa tylko wtedy, gdy wbudowany pakiet biurowy nie jest uruchomiony — na przykład tuż po restarcie serwera, aktualizacji lub awarii. Nie oznacza to jednak, że można zignorować problem: serwery są regularnie restartowane, a boty stale je skanują.

## 

## 

## Sprawdź, czy masz zainstalowany wbudowany pakiet biurowy

**Przez interfejs WWW.** Zaloguj się do Nextcloud jako administrator. Otwórz menu **Aplikacje** , a następnie **Twoje aplikacje**. Znajdź **Collabora Online - Built-in CODE Server** i sprawdź numer wersji.

**Przez SSH.** Przejdź do katalogu Nextcloud (najczęściej `/var/www/nextcloud`) i wykonaj:
    
    
    sudo -u www-data php occ app:list | grep -i richdocumentscode

Jeśli Nextcloud został zainstalowany przez snap, użyj polecenia:
    
    
    sudo nextcloud.occ app:list | grep -i richdocumentscode

Jak odczytać wynik:

  * Brak wyniku: aplikacja nie jest zainstalowana, więc ta podatność Cię nie dotyczy.
  * Wersja 26.4.302 lub starsza: natychmiast przejdź do kroku 2.
  * Wersja 26.4.303 lub nowsza: poprawka jest już zainstalowana, ale koniecznie wykonaj krok 3.



## 

## 

## Zaktualizuj lub usuń aplikację

Jeśli planujesz usunąć aplikację, najpierw wykonaj kontrole 1 i 2 z kroku 3. Po usunięciu nie będzie już czego sprawdzać w tym katalogu.

**Opcja A. Aktualizacja** (jeśli potrzebujesz pakietu biurowego):
    
    
    sudo -u www-data php occ app:update richdocumentscode

Następnie ponownie sprawdź wersję zgodnie z krokiem 1. Potrzebna jest wersja 26.4.303 lub nowsza.

**Opcja B. Usunięcie** (jeśli prawie nie korzystasz z pakietu biurowego):
    
    
    sudo -u www-data php occ app:remove richdocumentscode

> Aplikację trzeba usunąć, a nie tylko wyłączyć. Wyłączona aplikacja pozostaje na dysku, więc luka nadal istnieje. To tak, jakby zamknąć drzwi do pokoju, ale zostawić otwarte okno.

**Jeśli używasz Nextcloud 29 lub starszego:** poprawione wersje działają tylko z Nextcloud 30 i nowszym. Najnowsza wersja dostępna dla starszych instalacji Nextcloud to 26.4.104, a ona jest podatna. Masz więc dwa wyjścia: zaktualizować sam Nextcloud do wersji 30+ albo usunąć aplikację.

**Na przyszłość:** jeśli regularnie potrzebujesz pakietu biurowego, bezpieczniej jest uruchomić Collabora na oddzielnym serwerze, na przykład w Dockerze. Taka instalacja nie jest dotknięta tą konkretną podatnością i można ją aktualizować niezależnie od Nextcloud.

## 

## 

## Sprawdź, czy do włamania nie doszło wcześniej

Aktualizacja zamyka drzwi. Ale jeśli złodziej wszedł wcześniej, mógł zostawić sobie zapasowy klucz. Ataki trwają od 10 września, dlatego każdy, kto miał zainstalowaną starszą wersję, powinien przeprowadzić kontrolę.

Pierwsze dwie kontrole najlepiej wykonać **przed** usunięciem aplikacji.

**1\. Kontrola integralności.** Nextcloud porówna pliki aplikacji z oryginałami i wskaże nieoczekiwane pliki:
    
    
    sudo -u www-data php occ integrity:check-app richdocumentscode

**2\. Wyszukiwanie obcych plików.** Podczas znanych ataków hakerzy zostawiali pliki o nazwach takich jak `shx...php`, `shrf.php` lub `Nx_...php`:
    
    
    ls /var/www/nextcloud/apps/richdocumentscode/ | grep -Ei 'shx|shrf|nx_'

**3\. Kontrola logów serwera WWW.** Szukamy podejrzanych żądań do `proxy.php`:
    
    
    zgrep -h 'richdocumentscode/proxy.php' /var/log/nginx/access.log* /var/log/apache2/access.log* 2>/dev/null | grep -E '%2e%2e|\$\('

**Jeśli którakolwiek kontrola coś wykryje,** traktuj serwer jako przejęty. Co zrobić:

  1. Zachowaj kopie znalezionych plików i logów. Przydadzą się podczas analizy incydentu.
  2. Zmień hasło do bazy danych i poufne dane z pliku `config/config.php`.
  3. Poproś użytkowników o zmianę haseł.
  4. Najlepiej przenieś Nextcloud na czysty serwer. Usunięcie jednego znalezionego pliku nie wystarczy — atakujący mógł zostawić również inne.



## 

## 

## Lista kontrolna

  * Sprawdzono, czy zainstalowano `richdocumentscode`.
  * Ustalono wersję aplikacji.
  * Wykonano kontrolę integralności i wyszukano obce pliki.
  * Sprawdzono logi pod kątem żądań do `proxy.php`.
  * Zaktualizowano aplikację do wersji 26.4.303+ lub ją usunięto.
  * Jeśli używany jest Nextcloud 29 lub starszy, zaplanowano aktualizację Nextcloud.
  * Jeśli znaleziono ślady włamania, zmieniono hasła i poufne dane.
  * Rozważono przeniesienie Collabora na oddzielny serwer.



## 

## 

## Nie chcesz zajmować się tym samodzielnie?

Aktualizacja aplikacji jest prosta. Trudniej ustalić, czy doszło do włamania. Hakerzy ukrywają swoje pliki, a logi zawierają tysiące wierszy. Jeśli serwer został już przejęty, trzeba przenieść Nextcloud na czysty serwer, nie tracąc żadnego pliku użytkowników.

W takich przypadkach Zomro oferuje dwa rozwiązania.

### **SOD: sprawdzimy i naprawimy wszystko za Ciebie**

Nasz administrator systemów:

  * Sprawdzi wersję wbudowanego pakietu biurowego i zaktualizuje go lub usunie.
  * Poszuka śladów włamania w plikach i logach.
  * W razie potrzeby zmieni hasła i poufne dane.
  * Pomoże przenieść Collabora na oddzielny serwer, jeśli pakiet biurowy jest stale potrzebny.



**Koszt:** €12,50 za każde 15 minut pracy.

[**Zamów kontrolę bezpieczeństwa Nextcloud**](https://zomro.com/pl/paid-support-services/server-management-services)

### Premium: szybka pomoc wtedy, gdy jej potrzebujesz

W Nextcloud przechowujesz dokumenty, umowy i zdjęcia. Jeśli coś pójdzie nie tak, nie możesz czekać. Odpowiedź na standardowe zgłoszenie techniczne może zająć do 10 godzin. Z Premium odpowiadamy w ciągu 5–30 minut.

Nowe luki bezpieczeństwa pojawiają się co tydzień. Z Premium nie musisz radzić sobie z nimi samodzielnie.

[**Włącz Premium**](https://zomro.com/pl/paid-support-services)

Similar articles:

[Lista kontrolna bezpieczeństwa VPS: październik 2026](https://zomro.com/pl/blog/articles/751-vps-security-checklist-october-2026) [PHP2Shell: jak sprawdzić swój serwer i załatać niebezpieczną lukę w PHP](https://zomro.com/pl/blog/articles/746-php2shell-how-to-check-your-server-and-close-a-dangerous-php-vulnerability) [Node.js i Next.js: dwie krytyczne luki w zabezpieczeniach w tydzień i jak chronić stronę](https://zomro.com/pl/blog/articles/749-nodejs-and-nextjs-two-critical-vulnerabilities-in-one-week-and-how-to-protect-your-website) [Klucz certyfikatu okazał się liczbą 4: co zaktualizować na serwerze](https://zomro.com/pl/blog/articles/748-the-certificate-key-turned-out-to-be-the-number-4-what-needs-to-be-updated-on-the-server) [Nextcloud i Collabora: luka bezpieczeństwa, którą hakerzy już wykorzystują](https://zomro.com/pl/blog/articles/750-nextcloud-and-collabora-a-vulnerability-already-being-exploited-by-hackers)

[ Wirtualny hosting od €3.98/mies ](/pl/virtual)