Nextcloud і Collabora: вразливість, яку вже експлуатують хакери

Якщо у вас установлено Nextcloud із вбудованим офісним пакетом Collabora, перевірте сервер уже сьогодні. У цьому офісному пакеті виявили вразливість CVE-2026-110447. Через неї можна виконувати команди на сервері без логіна та пароля.

Це не теорія. Хакери експлуатують її з 10 вересня 2026 року й залишають на серверах свої програми-закладки, щоб мати змогу повернутися. 23 жовтня американське агентство з кібербезпеки CISA внесло її до переліку вразливостей, які активно експлуатують.

Виправлення просте: оновити один застосунок або видалити його. Нижче — покрокова інструкція та перевірки, які допоможуть з'ясувати, чи не встигли зламати ваш сервер.

Що таке Nextcloud і Collabora

Nextcloud — це ваш власний Google Диск. Файли, календар, контакти — усе зберігається на вашому сервері, а не в Google. Його часто встановлюють на VPS компанії та сім'ї, які хочуть самостійно контролювати свої дані.

Collabora — це офісний пакет усередині Nextcloud. Як Google Docs: відкриваєте документ або таблицю просто в браузері та редагуєте їх.

Підключити Collabora можна двома способами:

1. На окремому сервері. Офісний пакет працює незалежно, наприклад у Docker. Nextcloud просто звертається до нього.
2. Через вбудований застосунок «Collabora Online - Built-in CODE Server». Його встановлюють одним натисканням із магазину застосунків Nextcloud. Це найпростіший спосіб, тому він дуже популярний.

Вразливість стосується лише другого варіанта. Технічна назва цього застосунку — richdocumentscode. Запам'ятайте її: вона знадобиться під час перевірки.

Що сталося

У вбудованому офісному пакеті є службовий файл proxy.php. Уявіть його як секретаря на вході. Коли офісний пакет «спить», наприклад після перезавантаження сервера чи оновлення, секретар його будить. Для цього він надсилає серверу команду.

Помилка полягала в тому, що секретар вставляв у цю команду частину тексту із запиту відвідувача, не перевіряючи його. Уявіть секретаря, який уголос зачитує охороні будь-яку записку від відвідувача. А там написано: «Відкрийте сейф і віддайте все цій людині». Охорона чує команду від свого працівника й виконує її.

Так само й тут. Зловмисник надсилає спеціально сформований запит, і сервер виконує його команди. Логін і пароль не потрібні.

Що роблять хакери після злому:

• Залишають на сервері «закладку» — власний файл, через який можуть повернутися будь-коли.
• Читають налаштування Nextcloud. Там зберігаються пароль від бази даних та інші секрети.
• Отримують доступ до файлів користувачів.

Хронологія

Зверніть увагу: виправлення вийшло без широкого розголосу, а офіційне попередження з'явилося лише через місяць. Багато адміністраторів просто не знали, що потрібно оновитися.

Кого це стосується

Не плутайте два застосунки. richdocuments (Nextcloud Office) і richdocumentscode (Built-in CODE Server) мають дуже схожі назви. Вразливий лише другий.

Важлива деталь. Атака спрацьовує лише тоді, коли вбудований офісний пакет не запущений. Наприклад, одразу після перезавантаження сервера, оновлення чи збою. Це не привід заспокоюватися: сервери регулярно перезавантажуються, а боти перевіряють їх постійно.

Перевірте, чи встановлено у вас вбудований офісний пакет

Через вебінтерфейс. Увійдіть у Nextcloud як адміністратор. Відкрийте меню «Застосунки», потім «Ваші застосунки». Знайдіть «Collabora Online - Built-in CODE Server» і перевірте номер версії.

Через SSH. Перейдіть до каталогу Nextcloud (найчастіше це /var/www/nextcloud) і виконайте:

sudo -u www-data php occ app:list | grep -i richdocumentscode

Якщо Nextcloud установлено через snap, команда така:

sudo nextcloud.occ app:list | grep -i richdocumentscode

Як зрозуміти результат:

• Порожній вивід: застосунку немає, ця вразливість вас не стосується.
• Версія 26.4.302 або старіша: негайно переходьте до кроку 2.
• Версія 26.4.303 або новіша: виправлення вже встановлено, але обов'язково виконайте крок 3.

Оновіть або видаліть застосунок

Якщо плануєте видалити застосунок, спочатку виконайте перевірки 1 і 2 із кроку 3. Після видалення перевіряти в цьому каталозі вже не буде чого.

Варіант А. Оновити (якщо офісний пакет потрібен):

sudo -u www-data php occ app:update richdocumentscode

Після цього знову перевірте версію, як у кроці 1. Потрібна 26.4.303 або новіша.

Варіант Б. Видалити (якщо офісним пакетом майже не користуються):

sudo -u www-data php occ app:remove richdocumentscode

Саме видалити, а не вимкнути. Вимкнений застосунок залишається на диску, і вразливість нікуди не зникає. Це як замкнути кімнату, але залишити відчиненим вікно.

Якщо у вас Nextcloud 29 або старіша версія. Виправлені версії працюють лише з Nextcloud 30 і новішими. Для старих версій Nextcloud остання доступна версія — 26.4.104, а вона вразлива. Тому є два шляхи: оновити сам Nextcloud до 30+ або видалити застосунок.

На майбутнє. Якщо офісний пакет потрібен постійно, надійніше запустити Collabora на окремому сервері, наприклад у Docker. Таке встановлення не підпадає під дію цієї конкретної вразливості й оновлюється незалежно від Nextcloud.

Перевірте, чи не зламали вас раніше

Оновлення зачиняє двері. Але якщо злодій зайшов раніше, він міг залишити собі запасний ключ. Атаки тривають із 10 вересня, тому перевіритися варто всім, у кого була встановлена стара версія.

Перші дві перевірки краще виконати до видалення застосунку.

1. Перевірка цілісності. Nextcloud порівняє файли застосунку з оригіналами та покаже сторонні:

sudo -u www-data php occ integrity:check-app richdocumentscode

2. Пошук сторонніх файлів. У відомих атаках хакери залишали файли з назвами на кшталт shx...php, shrf.php або Nx_...php:

ls /var/www/nextcloud/apps/richdocumentscode/ | grep -Ei 'shx|shrf|nx_'

3. Перевірка журналів вебсервера. Шукаємо підозрілі звернення до proxy.php:

zgrep -h 'richdocumentscode/proxy.php' /var/log/nginx/access.log* /var/log/apache2/access.log* 2>/dev/null | grep -E '%2e%2e|\$\('

Якщо хоча б одна перевірка щось виявила, вважайте сервер скомпрометованим. Що робити:

1. Збережіть копії знайдених файлів і журналів. Вони знадобляться для розслідування.
2. Змініть пароль від бази даних і секрети з файлу config/config.php.
3. Попросіть користувачів змінити паролі.
4. В ідеалі перенесіть Nextcloud на чистий сервер. Видалити один знайдений файл недостатньо: хакер міг залишити й інші.

Чекліст

• Перевірив, чи встановлено richdocumentscode.
• Дізнався його версію.
• Перевірив цілісність і пошукав сторонні файли.
• Перевірив журнали на звернення до proxy.php.
• Оновив застосунок до 26.4.303+ або видалив його.
• Якщо Nextcloud 29 або старіший, запланував оновлення Nextcloud.
• Якщо виявив сліди злому, змінив паролі та секрети.
• Розглянув перенесення Collabora на окремий сервер.

Не хочете розбиратися самостійно?

Оновити застосунок просто. Складніше зрозуміти, чи був злом. Хакери приховують свої файли, а в журналах — тисячі рядків. Якщо злом уже стався, потрібно перенести Nextcloud на чистий сервер і не втратити жодного файлу користувачів.

Для таких випадків Zomro пропонує два варіанти.

SOD: перевіримо та виправимо за вас

Наш системний адміністратор:

• Перевірить версію вбудованого офісного пакета й оновить або видалить його.
• Пошукає сліди злому у файлах і журналах.
• За потреби змінить паролі та секрети.
• Допоможе перенести Collabora на окремий сервер, якщо офісний пакет потрібен постійно.

Вартість: €12,50 за кожні 15 хвилин роботи.

Замовити перевірку Nextcloud

Premium: швидка допомога, коли вона потрібна

У Nextcloud зберігаються документи, договори, фотографії. Якщо щось піде не так, чекати не можна. Відповідь на звичайний запит до підтримки може тривати до 10 годин. З Premium ми відповідаємо протягом 5–30 хвилин.

Нові вразливості з'являються щотижня. З Premium вам не доведеться розбиратися з ними наодинці.

Підключити Premium