---
title: 'Nextcloud і Collabora: як усунути CVE-2026-110447 | Zomro'
description: 'Уразливість CVE-2026-110447 у вбудованому Collabora для Nextcloud вже використовують хакери. Дізнайтеся, як оновити застосунок і перевірити сервер.'
image: 'https://cdn.zomro.com/uploads/blog/a48%40server-panel.net/2026/10/28/gemini_generated_image_ih0dt8ih0dt8ih0d_q50.jpg'
---

![opened image]()

  * [Zomro](https://zomro.com/ua/)
  * [Корисні статті](https://zomro.com/ua/blog/articles/)
  * [Безпека хостингу](https://zomro.com/ua/blog/articles/bezopasnost/)
  * Nextcloud і Collabora: вразливість, яку вже експлуатують хакери 



# Nextcloud і Collabora: вразливість, яку вже експлуатують хакери

28-10-2026

![](https://cdn.zomro.com/uploads/blog/a48%40server-panel.net/2026/10/28/gemini_generated_image_ih0dt8ih0dt8ih0d_q50.jpg)

Якщо у вас установлено Nextcloud із вбудованим офісним пакетом Collabora, перевірте сервер уже сьогодні. У цьому офісному пакеті виявили вразливість CVE-2026-110447. Через неї можна виконувати команди на сервері без логіна та пароля.

Це не теорія. Хакери експлуатують її з 10 вересня 2026 року й залишають на серверах свої програми-закладки, щоб мати змогу повернутися. 23 жовтня американське агентство з кібербезпеки CISA внесло її до переліку вразливостей, які активно експлуатують.

> Виправлення просте: оновити один застосунок або видалити його. Нижче — покрокова інструкція та перевірки, які допоможуть з'ясувати, чи не встигли зламати ваш сервер.

## 

## Що таке Nextcloud і Collabora

**Nextcloud** — це ваш власний Google Диск. Файли, календар, контакти — усе зберігається на вашому сервері, а не в Google. Його часто встановлюють на VPS компанії та сім'ї, які хочуть самостійно контролювати свої дані.

**Collabora** — це офісний пакет усередині Nextcloud. Як Google Docs: відкриваєте документ або таблицю просто в браузері та редагуєте їх.

Підключити Collabora можна двома способами:

  1. **На окремому сервері.** Офісний пакет працює незалежно, наприклад у Docker. Nextcloud просто звертається до нього.
  2. **Через вбудований застосунок «Collabora Online - Built-in CODE Server».** Його встановлюють одним натисканням із магазину застосунків Nextcloud. Це найпростіший спосіб, тому він дуже популярний.



> **Вразливість стосується лише другого варіанта.** Технічна назва цього застосунку — `richdocumentscode`. Запам'ятайте її: вона знадобиться під час перевірки.

## 

## 

## Що сталося

У вбудованому офісному пакеті є службовий файл `proxy.php`. Уявіть його як секретаря на вході. Коли офісний пакет «спить», наприклад після перезавантаження сервера чи оновлення, секретар його будить. Для цього він надсилає серверу команду.

Помилка полягала в тому, що секретар вставляв у цю команду частину тексту із запиту відвідувача, не перевіряючи його. Уявіть секретаря, який уголос зачитує охороні будь-яку записку від відвідувача. А там написано: «Відкрийте сейф і віддайте все цій людині». Охорона чує команду від свого працівника й виконує її.

Так само й тут. Зловмисник надсилає спеціально сформований запит, і сервер виконує його команди. Логін і пароль не потрібні.

Що роблять хакери після злому:

  * Залишають на сервері «закладку» — власний файл, через який можуть повернутися будь-коли.
  * Читають налаштування Nextcloud. Там зберігаються пароль від бази даних та інші секрети.
  * Отримують доступ до файлів користувачів.



Хронологія

Дата |  Подія  
---|---  
23 жовтня 2026 року |  CISA внесло вразливість до переліку тих, які активно експлуатують. Вийшла версія 26.4.502.  
14 жовтня 2026 року |  Вразливість отримала ідентифікатор CVE та оцінку критичності 9,2 із 10.  
3 жовтня 2026 року |  На форумі Nextcloud попередили, що вразливість уже експлуатують.  
11 вересня 2026 року |  Вийшла виправлена версія 26.4.303.  
10 вересня 2026 року |  Перша відома атака.  
  
> Зверніть увагу: виправлення вийшло без широкого розголосу, а офіційне попередження з'явилося лише через місяць. Багато адміністраторів просто не знали, що потрібно оновитися.

## 

## 

## Кого це стосується

Ваша ситуація |  Є ризик?  
---|---  
Установлено «Built-in CODE Server» (`richdocumentscode`) версії 26.4.302 або старішої |  Так  
Той самий застосунок, але **вимкнений** | **Так.** Вимкнути недостатньо: файл усе одно доступний.  
` richdocumentscode` версії 26.4.303, 26.4.402 або 26.4.502 |  Ні, але перевірте, чи не зламали вас до оновлення.  
Collabora працює на окремому сервері (Docker, пакети DEB/RPM) |  Ні  
Nextcloud All-in-One |  Ні  
Установлено лише «Nextcloud Office» (`richdocuments`) без вбудованого сервера |  Ні  
  
**Не плутайте два застосунки.** `richdocuments` (Nextcloud Office) і `richdocumentscode` (Built-in CODE Server) мають дуже схожі назви. Вразливий лише другий.

**Важлива деталь.** Атака спрацьовує лише тоді, коли вбудований офісний пакет не запущений. Наприклад, одразу після перезавантаження сервера, оновлення чи збою. Це не привід заспокоюватися: сервери регулярно перезавантажуються, а боти перевіряють їх постійно.

## 

## 

## Перевірте, чи встановлено у вас вбудований офісний пакет

**Через вебінтерфейс.** Увійдіть у Nextcloud як адміністратор. Відкрийте меню **«Застосунки»** , потім **«Ваші застосунки»**. Знайдіть **«Collabora Online - Built-in CODE Server»** і перевірте номер версії.

**Через SSH.** Перейдіть до каталогу Nextcloud (найчастіше це `/var/www/nextcloud`) і виконайте:
    
    
    sudo -u www-data php occ app:list | grep -i richdocumentscode

Якщо Nextcloud установлено через snap, команда така:
    
    
    sudo nextcloud.occ app:list | grep -i richdocumentscode

Як зрозуміти результат:

  * Порожній вивід: застосунку немає, ця вразливість вас не стосується.
  * Версія 26.4.302 або старіша: негайно переходьте до кроку 2.
  * Версія 26.4.303 або новіша: виправлення вже встановлено, але обов'язково виконайте крок 3.



## 

## 

## Оновіть або видаліть застосунок

Якщо плануєте видалити застосунок, спочатку виконайте перевірки 1 і 2 із кроку 3. Після видалення перевіряти в цьому каталозі вже не буде чого.

**Варіант А. Оновити** (якщо офісний пакет потрібен):
    
    
    sudo -u www-data php occ app:update richdocumentscode

Після цього знову перевірте версію, як у кроці 1. Потрібна 26.4.303 або новіша.

**Варіант Б. Видалити** (якщо офісним пакетом майже не користуються):
    
    
    sudo -u www-data php occ app:remove richdocumentscode

> Саме видалити, а не вимкнути. Вимкнений застосунок залишається на диску, і вразливість нікуди не зникає. Це як замкнути кімнату, але залишити відчиненим вікно.

**Якщо у вас Nextcloud 29 або старіша версія.** Виправлені версії працюють лише з Nextcloud 30 і новішими. Для старих версій Nextcloud остання доступна версія — 26.4.104, а вона вразлива. Тому є два шляхи: оновити сам Nextcloud до 30+ або видалити застосунок.

**На майбутнє.** Якщо офісний пакет потрібен постійно, надійніше запустити Collabora на окремому сервері, наприклад у Docker. Таке встановлення не підпадає під дію цієї конкретної вразливості й оновлюється незалежно від Nextcloud.

## 

## 

## Перевірте, чи не зламали вас раніше

Оновлення зачиняє двері. Але якщо злодій зайшов раніше, він міг залишити собі запасний ключ. Атаки тривають із 10 вересня, тому перевіритися варто всім, у кого була встановлена стара версія.

Перші дві перевірки краще виконати **до** видалення застосунку.

**1\. Перевірка цілісності.** Nextcloud порівняє файли застосунку з оригіналами та покаже сторонні:
    
    
    sudo -u www-data php occ integrity:check-app richdocumentscode

**2\. Пошук сторонніх файлів.** У відомих атаках хакери залишали файли з назвами на кшталт `shx...php`, `shrf.php` або `Nx_...php`:
    
    
    ls /var/www/nextcloud/apps/richdocumentscode/ | grep -Ei 'shx|shrf|nx_'

**3\. Перевірка журналів вебсервера.** Шукаємо підозрілі звернення до `proxy.php`:
    
    
    zgrep -h 'richdocumentscode/proxy.php' /var/log/nginx/access.log* /var/log/apache2/access.log* 2>/dev/null | grep -E '%2e%2e|\$\('

**Якщо хоча б одна перевірка щось виявила,** вважайте сервер скомпрометованим. Що робити:

  1. Збережіть копії знайдених файлів і журналів. Вони знадобляться для розслідування.
  2. Змініть пароль від бази даних і секрети з файлу `config/config.php`.
  3. Попросіть користувачів змінити паролі.
  4. В ідеалі перенесіть Nextcloud на чистий сервер. Видалити один знайдений файл недостатньо: хакер міг залишити й інші.



## 

## 

## Чекліст

  * Перевірив, чи встановлено `richdocumentscode`.
  * Дізнався його версію.
  * Перевірив цілісність і пошукав сторонні файли.
  * Перевірив журнали на звернення до `proxy.php`.
  * Оновив застосунок до 26.4.303+ або видалив його.
  * Якщо Nextcloud 29 або старіший, запланував оновлення Nextcloud.
  * Якщо виявив сліди злому, змінив паролі та секрети.
  * Розглянув перенесення Collabora на окремий сервер.



## 

## 

## Не хочете розбиратися самостійно?

Оновити застосунок просто. Складніше зрозуміти, чи був злом. Хакери приховують свої файли, а в журналах — тисячі рядків. Якщо злом уже стався, потрібно перенести Nextcloud на чистий сервер і не втратити жодного файлу користувачів.

Для таких випадків Zomro пропонує два варіанти.

### **SOD: перевіримо та виправимо за вас**

Наш системний адміністратор:

  * Перевірить версію вбудованого офісного пакета й оновить або видалить його.
  * Пошукає сліди злому у файлах і журналах.
  * За потреби змінить паролі та секрети.
  * Допоможе перенести Collabora на окремий сервер, якщо офісний пакет потрібен постійно.



**Вартість:** €12,50 за кожні 15 хвилин роботи.

[**Замовити перевірку Nextcloud**](https://zomro.com/ua/paid-support-services/server-management-services)

### Premium: швидка допомога, коли вона потрібна

У Nextcloud зберігаються документи, договори, фотографії. Якщо щось піде не так, чекати не можна. Відповідь на звичайний запит до підтримки може тривати до 10 годин. З Premium ми відповідаємо протягом 5–30 хвилин.

Нові вразливості з'являються щотижня. З Premium вам не доведеться розбиратися з ними наодинці.

[**Підключити Premium**](https://zomro.com/ua/paid-support-services)

Схожі статті

[Безпека на хмарному VPS: як захистити сервер від атак](https://zomro.com/ua/blog/articles/541-security-on-cloud-vps-how-to-protect-the-server-from-attacks) [PHP2Shell: як перевірити свій сервер і закрити небезпечну вразливість PHP](https://zomro.com/ua/blog/articles/746-php2shell-how-to-check-your-server-and-close-a-dangerous-php-vulnerability) [Node.js і Next.js: дві критичні вразливості за тиждень і як захистити сайт](https://zomro.com/ua/blog/articles/749-nodejs-and-nextjs-two-critical-vulnerabilities-in-one-week-and-how-to-protect-your-website) [Nextcloud і Collabora: вразливість, яку вже експлуатують хакери](https://zomro.com/ua/blog/articles/750-nextcloud-and-collabora-a-vulnerability-already-being-exploited-by-hackers) [Чек-лист безпеки VPS: жовтень 2026 року](https://zomro.com/ua/blog/articles/751-vps-security-checklist-october-2026)

[ Віртуальний хостинг від €3.98/міс ](/ua/virtual)