Nextcloud и Collabora: уязвимость, которую уже используют хакеры

Если у вас стоит Nextcloud со встроенным офисом Collabora, проверьте сервер сегодня. В этом офисе нашли уязвимость CVE-2026-110447. Через неё можно управлять сервером без логина и пароля.

Это не теория. Хакеры используют её с 10 сентября 2026 года и оставляют на серверах свои программы-«закладки». 23 октября американское агентство кибербезопасности CISA внесло её в список активно атакуемых.

Лечится просто: обновить одно приложение или удалить его. Ниже инструкция по шагам и проверка, не успели ли вас взломать.

Что такое Nextcloud и Collabora

Nextcloud это ваш собственный Google Диск. Файлы, календарь, контакты, только хранятся они на вашем сервере, а не у Google. Его часто ставят на VPS компании и семьи, которые хотят держать данные у себя.

Collabora это офис внутри Nextcloud. Как Google Docs: открываете документ или таблицу прямо в браузере и редактируете.

Collabora можно подключить двумя способами:

1. Отдельным сервером. Офис работает сам по себе, например в Docker. Nextcloud просто к нему обращается.
2. Встроенным приложением «Collabora Online - Built-in CODE Server». Его ставят одной кнопкой из магазина приложений Nextcloud. Это самый простой способ, поэтому он очень популярен.

Уязвимость касается только второго варианта. Техническое имя этого приложения richdocumentscode. Запомните его, оно пригодится при проверке.

Что случилось

Во встроенном офисе есть служебный файл proxy.php. Он как секретарь на входе. Когда офис «спит», например после перезагрузки сервера или обновления, секретарь его будит. Для этого он отправляет серверу команду.

Ошибка в том, что секретарь вставлял в эту команду кусок текста из запроса посетителя. Не проверяя его. Представьте секретаря, который громко зачитывает охране любую записку посетителя. А в записке написано: «Откройте сейф и отдайте всё этому человеку». Охрана слышит команду от своего и выполняет.

Так и здесь. Злоумышленник отправляет специальный запрос, и сервер выполняет его команды. Логин и пароль не нужны.

Что делают хакеры после взлома:

• оставляют на сервере «закладку», то есть свой файл, через который могут вернуться в любой момент;
• читают настройки Nextcloud. Там лежат пароль от базы данных и другие секреты;
• получают доступ к файлам пользователей.

Хронология.

Обратите внимание: исправление вышло тихо, а официальное предупреждение появилось только через месяц. Многие администраторы просто не знали, что надо обновляться.

Кого это касается

Не перепутайте два приложения. richdocuments (Nextcloud Office) и richdocumentscode (Built-in CODE Server) называются почти одинаково. Опасно только второе.

Важная деталь. Атака срабатывает, только когда встроенный офис не запущен. Например, сразу после перезагрузки сервера, обновления или сбоя. Это не повод расслабляться: серверы перезагружаются регулярно, а боты проверяют их постоянно.

Проверьте, стоит ли у вас встроенный офис

Через веб-интерфейс. Войдите в Nextcloud как администратор. Откройте меню «Приложения», затем «Ваши приложения». Найдите «Collabora Online - Built-in CODE Server» и посмотрите номер версии.

Через SSH. Перейдите в папку Nextcloud (чаще всего это /var/www/nextcloud) и выполните:

sudo -u www-data php occ app:list | grep -i richdocumentscode

Если Nextcloud установлен через snap, команда такая:

sudo nextcloud.occ app:list | grep -i richdocumentscode

Как понять ответ:

• пусто: приложения нет, эта уязвимость вас не касается;
• версия 26.4.302 или ниже: срочно переходите к шагу 2;
• версия 26.4.303 или выше: обновление уже стоит, но обязательно сделайте шаг 3.

Обновите или удалите

Если вы планируете удалить приложение, сначала сделайте проверки 1 и 2 из шага 3. После удаления проверять будет нечего.

Вариант А. Обновить (если офис нужен):

sudo -u www-data php occ app:update richdocumentscode

После этого снова проверьте версию, как в шаге 1. Нужна 26.4.303 или новее.

Вариант Б. Удалить (если офисом почти не пользуются):

sudo -u www-data php occ app:remove richdocumentscode

Именно удалить, а не отключить. Отключённое приложение остаётся на диске, и дыра никуда не девается. Это как запереть комнату, но оставить открытым окно.

Если у вас Nextcloud 29 или старее. Исправленные версии работают только на Nextcloud 30 и новее. Для старых Nextcloud последняя доступная версия 26.4.104, а она уязвима. Поэтому есть два пути: обновить сам Nextcloud до 30+ или удалить приложение.

На будущее. Если офис нужен постоянно, надёжнее запустить Collabora отдельным сервером, например в Docker. Такая установка этой уязвимости не подвержена и обновляется отдельно от Nextcloud.

Проверьте, не взломали ли вас раньше

Обновление закрывает дверь. Но если вор зашёл раньше, он мог оставить себе запасной ключ. Атаки идут с 10 сентября, поэтому проверить стоит всем, у кого стояла старая версия.

Первые две проверки лучше сделать до удаления приложения.

1. Проверка целостности. Nextcloud сравнит файлы приложения с оригиналом и покажет лишние:

sudo -u www-data php occ integrity:check-app richdocumentscode

2. Поиск чужих файлов. В известных атаках хакеры оставляли файлы с названиями вроде shx...php, shrf.php или Nx_...php:

ls /var/www/nextcloud/apps/richdocumentscode/ | grep -Ei 'shx|shrf|nx_'

3. Проверка логов веб-сервера. Ищем подозрительные обращения к proxy.php:

zgrep -h 'richdocumentscode/proxy.php' /var/log/nginx/access.log* /var/log/apache2/access.log* 2>/dev/null | grep -E '%2e%2e|\$\('

Если хоть одна проверка что-то нашла, считайте сервер взломанным. Что делать:

1. Сохраните копию найденных файлов и логов. Они пригодятся для разбора.
2. Смените пароль от базы данных и секреты из файла config/config.php.
3. Попросите пользователей сменить пароли.
4. В идеале перенесите Nextcloud на чистый сервер. Удалить один найденный файл мало, хакер мог оставить и другие.

Чек-лист

• Проверил, стоит ли приложение richdocumentscode
• Узнал его версию
• Сделал проверку целостности и поиск чужих файлов
• Проверил логи на обращения к proxy.php
• Обновил приложение до 26.4.303+ или удалил его
• Если Nextcloud 29 или старее, запланировал обновление Nextcloud
• Если нашёл следы взлома, сменил пароли и секреты
• Подумал о переносе Collabora на отдельный сервер

Не хотите разбираться сами?

Обновить приложение просто. Сложнее понять, был ли взлом. Хакеры прячут свои файлы, а в логах тысячи строк. Если взлом был, нужно перенести Nextcloud на чистый сервер и не потерять ни одного файла пользователей.

Для таких случаев у Zomro есть два варианта.

SOD: проверим и починим за вас

Наш системный администратор:

• проверит версию встроенного офиса и обновит или удалит его;
• поищет следы взлома в файлах и логах;
• при необходимости сменит пароли и секреты;
• поможет перенести Collabora на отдельный сервер, если офис нужен постоянно.

Стоимость: €12.50 за каждые 15 минут работы.

Заказать проверку Nextcloud

Premium: быстрая помощь, когда она нужна

В Nextcloud хранятся документы, договоры, фото. Если что-то пошло не так, ждать нельзя. По обычному техническому запросу ответ может занять до 10 часов. С Premium мы отвечаем за время от 5 до 30 минут.

Новые уязвимости появляются каждую неделю. С Premium вам не придётся разбираться с ними в одиночку.

Подключить Premium