---
title: 'Nextcloud и Collabora: как устранить CVE-2026-110447 | Zomro'
description: 'Уязвимость CVE-2026-110447 во встроенном Collabora для Nextcloud уже атакуют. Узнайте, какие версии под угрозой, как обновиться и проверить сервер.'
image: 'https://cdn.zomro.com/uploads/blog/a48%40server-panel.net/2026/10/28/gemini_generated_image_ih0dt8ih0dt8ih0d_q50.jpg'
---

![opened image]()

  * [Zomro](https://zomro.com/rus/)
  * [Полезные статьи](https://zomro.com/rus/blog/articles/)
  * [Безопасность хостинга](https://zomro.com/rus/blog/articles/bezopasnost/)
  * Nextcloud и Collabora: уязвимость, которую уже используют хакеры 



# Nextcloud и Collabora: уязвимость, которую уже используют хакеры

28-10-2026

![](https://cdn.zomro.com/uploads/blog/a48%40server-panel.net/2026/10/28/gemini_generated_image_ih0dt8ih0dt8ih0d_q50.jpg)

Если у вас стоит Nextcloud со встроенным офисом Collabora, проверьте сервер сегодня. В этом офисе нашли уязвимость CVE-2026-110447. Через неё можно управлять сервером без логина и пароля.

Это не теория. Хакеры используют её с 10 сентября 2026 года и оставляют на серверах свои программы-«закладки». 23 октября американское агентство кибербезопасности CISA внесло её в список активно атакуемых.

> Лечится просто: обновить одно приложение или удалить его. Ниже инструкция по шагам и проверка, не успели ли вас взломать.

## 

## Что такое Nextcloud и Collabora

**Nextcloud** это ваш собственный Google Диск. Файлы, календарь, контакты, только хранятся они на вашем сервере, а не у Google. Его часто ставят на VPS компании и семьи, которые хотят держать данные у себя.

**Collabora** это офис внутри Nextcloud. Как Google Docs: открываете документ или таблицу прямо в браузере и редактируете.

Collabora можно подключить двумя способами:

  1. **Отдельным сервером.** Офис работает сам по себе, например в Docker. Nextcloud просто к нему обращается.
  2. **Встроенным приложением «Collabora Online - Built-in CODE Server».** Его ставят одной кнопкой из магазина приложений Nextcloud. Это самый простой способ, поэтому он очень популярен.



> **Уязвимость касается только второго варианта.** Техническое имя этого приложения `richdocumentscode`. Запомните его, оно пригодится при проверке.

## 

## 

## Что случилось

Во встроенном офисе есть служебный файл `proxy.php`. Он как секретарь на входе. Когда офис «спит», например после перезагрузки сервера или обновления, секретарь его будит. Для этого он отправляет серверу команду.

Ошибка в том, что секретарь вставлял в эту команду кусок текста из запроса посетителя. Не проверяя его. Представьте секретаря, который громко зачитывает охране любую записку посетителя. А в записке написано: «Откройте сейф и отдайте всё этому человеку». Охрана слышит команду от своего и выполняет.

Так и здесь. Злоумышленник отправляет специальный запрос, и сервер выполняет его команды. Логин и пароль не нужны.

**Что делают хакеры после взлома:**

  * оставляют на сервере «закладку», то есть свой файл, через который могут вернуться в любой момент;
  * читают настройки Nextcloud. Там лежат пароль от базы данных и другие секреты;
  * получают доступ к файлам пользователей.



**Хронология.**

Дата |  Событие  
---|---  
23 октября 2026 |  CISA внесла уязвимость в список активно атакуемых. Вышла версия 26.4.502  
14 октября 2026 |  Уязвимость получила номер CVE и оценку 9.2 из 10  
3 октября 2026 |  На форуме Nextcloud предупредили, что уязвимость уже атакуют  
11 сентября 2026 |  Вышла исправленная версия 26.4.303  
10 сентября 2026 |  Первая известная атака  
  
> Обратите внимание: исправление вышло тихо, а официальное предупреждение появилось только через месяц. Многие администраторы просто не знали, что надо обновляться.

## 

## 

## Кого это касается

Ваша ситуация |  Опасно?  
---|---  
Стоит приложение «Built-in CODE Server» (`richdocumentscode`) версии 26.4.302 или старее |  **Да**  
То же приложение, но **отключено** |  **Да.** Отключить мало, файл всё равно доступен  
` richdocumentscode` версии 26.4.303, 26.4.402 или 26.4.502 |  Нет, но проверьте, не взломали ли вас раньше  
Collabora работает отдельным сервером (Docker, пакеты DEB/RPM) |  Нет  
Nextcloud All-in-One |  Нет  
Только приложение «Nextcloud Office» (`richdocuments`) без встроенного сервера |  Нет  
  
**Не перепутайте два приложения.** `richdocuments` (Nextcloud Office) и `richdocumentscode` (Built-in CODE Server) называются почти одинаково. Опасно только второе.

**Важная деталь.** Атака срабатывает, только когда встроенный офис не запущен. Например, сразу после перезагрузки сервера, обновления или сбоя. Это не повод расслабляться: серверы перезагружаются регулярно, а боты проверяют их постоянно.

## 

## 

## Проверьте, стоит ли у вас встроенный офис

**Через веб-интерфейс.** Войдите в Nextcloud как администратор. Откройте меню «Приложения», затем «Ваши приложения». Найдите «Collabora Online - Built-in CODE Server» и посмотрите номер версии.

**Через SSH.** Перейдите в папку Nextcloud (чаще всего это `/var/www/nextcloud`) и выполните:
    
    
    sudo -u www-data php occ app:list | grep -i richdocumentscode

Если Nextcloud установлен через snap, команда такая:
    
    
    sudo nextcloud.occ app:list | grep -i richdocumentscode

**Как понять ответ:**

  * пусто: приложения нет, эта уязвимость вас не касается;
  * версия 26.4.302 или ниже: срочно переходите к шагу 2;
  * версия 26.4.303 или выше: обновление уже стоит, но обязательно сделайте шаг 3.



## 

## 

## Обновите или удалите

Если вы планируете удалить приложение, сначала сделайте проверки 1 и 2 из шага 3. После удаления проверять будет нечего.

**Вариант А. Обновить** (если офис нужен):
    
    
    sudo -u www-data php occ app:update richdocumentscode

После этого снова проверьте версию, как в шаге 1. Нужна 26.4.303 или новее.

**Вариант Б. Удалить** (если офисом почти не пользуются):
    
    
    sudo -u www-data php occ app:remove richdocumentscode

> Именно удалить, а не отключить. Отключённое приложение остаётся на диске, и дыра никуда не девается. Это как запереть комнату, но оставить открытым окно.

**Если у вас Nextcloud 29 или старее.** Исправленные версии работают только на Nextcloud 30 и новее. Для старых Nextcloud последняя доступная версия 26.4.104, а она уязвима. Поэтому есть два пути: обновить сам Nextcloud до 30+ или удалить приложение.

**На будущее.** Если офис нужен постоянно, надёжнее запустить Collabora отдельным сервером, например в Docker. Такая установка этой уязвимости не подвержена и обновляется отдельно от Nextcloud.

## 

## 

## Проверьте, не взломали ли вас раньше

Обновление закрывает дверь. Но если вор зашёл раньше, он мог оставить себе запасной ключ. Атаки идут с 10 сентября, поэтому проверить стоит всем, у кого стояла старая версия.

Первые две проверки лучше сделать **до** удаления приложения.

**1\. Проверка целостности.** Nextcloud сравнит файлы приложения с оригиналом и покажет лишние:
    
    
    sudo -u www-data php occ integrity:check-app richdocumentscode

**2\. Поиск чужих файлов.** В известных атаках хакеры оставляли файлы с названиями вроде `shx...php`, `shrf.php` или `Nx_...php`:
    
    
    ls /var/www/nextcloud/apps/richdocumentscode/ | grep -Ei 'shx|shrf|nx_'

**3\. Проверка логов веб-сервера.** Ищем подозрительные обращения к `proxy.php`:
    
    
    zgrep -h 'richdocumentscode/proxy.php' /var/log/nginx/access.log* /var/log/apache2/access.log* 2>/dev/null | grep -E '%2e%2e|\$\('

**Если хоть одна проверка что-то нашла,** считайте сервер взломанным. Что делать:

  1. Сохраните копию найденных файлов и логов. Они пригодятся для разбора.
  2. Смените пароль от базы данных и секреты из файла `config/config.php`.
  3. Попросите пользователей сменить пароли.
  4. В идеале перенесите Nextcloud на чистый сервер. Удалить один найденный файл мало, хакер мог оставить и другие.



## 

## 

## Чек-лист

  * Проверил, стоит ли приложение `richdocumentscode`
  * Узнал его версию
  * Сделал проверку целостности и поиск чужих файлов
  * Проверил логи на обращения к `proxy.php`
  * Обновил приложение до 26.4.303+ или удалил его
  * Если Nextcloud 29 или старее, запланировал обновление Nextcloud
  * Если нашёл следы взлома, сменил пароли и секреты
  * Подумал о переносе Collabora на отдельный сервер



## 

## 

## Не хотите разбираться сами?

Обновить приложение просто. Сложнее понять, был ли взлом. Хакеры прячут свои файлы, а в логах тысячи строк. Если взлом был, нужно перенести Nextcloud на чистый сервер и не потерять ни одного файла пользователей.

Для таких случаев у Zomro есть два варианта.

### **SOD: проверим и починим за вас**

Наш системный администратор:

  * проверит версию встроенного офиса и обновит или удалит его;
  * поищет следы взлома в файлах и логах;
  * при необходимости сменит пароли и секреты;
  * поможет перенести Collabora на отдельный сервер, если офис нужен постоянно.



Стоимость: €12.50 за каждые 15 минут работы.

[**Заказать проверку Nextcloud**](https://zomro.com/rus/paid-support-services/server-management-services)

### Premium: быстрая помощь, когда она нужна

В Nextcloud хранятся документы, договоры, фото. Если что-то пошло не так, ждать нельзя. По обычному техническому запросу ответ может занять до 10 часов. С Premium мы отвечаем за время от 5 до 30 минут.

Новые уязвимости появляются каждую неделю. С Premium вам не придётся разбираться с ними в одиночку.

[**Подключить Premium**](https://zomro.com/rus/paid-support-services)

Похожие статьи

[Украденные AI-ключи: как LiteLLM, Railway и OpenCode подвели разработчиков](https://zomro.com/rus/blog/articles/747-stolen-ai-keys-how-litellm-railway-and-opencode-let-developers-down) [Чек-лист безопасности VPS: октябрь 2026](https://zomro.com/rus/blog/articles/751-vps-security-checklist-october-2026) [Безопасность на облачном VPS: как защитить сервер от атак](https://zomro.com/rus/blog/articles/541-security-on-cloud-vps-how-to-protect-the-server-from-attacks) [PHP2Shell: как проверить свой сервер и закрыть опасную уязвимость PHP](https://zomro.com/rus/blog/articles/746-php2shell-how-to-check-your-server-and-close-a-dangerous-php-vulnerability) [Node.js и Next.js: две критические уязвимости за неделю и как защитить сайт](https://zomro.com/rus/blog/articles/749-nodejs-and-nextjs-two-critical-vulnerabilities-in-one-week-and-how-to-protect-your-website)

[ Виртуальный хостинг от €3.98/мес ](/rus/virtual)