Kritická díra v Collabora Online pro Nextcloud, útočníci přebírají servery

Co se stalo

Collabora Online je sada kancelářských nástrojů pro úpravu dokumentů přímo v prohlížeči. Řada firem ji používá v Nextcloudu přes doplněk Collabora Online Built-in CODE Server (technický název richdocumentscode). Ten spouští Collaboru přímo na serveru s Nextcloudem, bez samostatného serveru.

V tomto doplňku je chyba, přes kterou útočník spustí na serveru vlastní příkazy. Problém je v souboru proxy.php a projeví se ve chvíli, kdy vestavěný CODE server zrovna neběží, například krátce po restartu. Zranitelnost má označení CVE-2026-110447.

První útok zachytil jeden z provozovatelů už 10. září 2026 a hned druhý den ho nahlásil vývojářům doplňku. CVE bylo zveřejněno 14. října 2026. Americká agentura CISA zařadila chybu 23. října 2026 do katalogu zneužívaných zranitelností, útoky tedy nejsou teoretické.

Proč je to nebezpečné

Jde o takzvané vkládání příkazů operačního systému (command injection). Zjednodušeně řečeno, doplněk měl část dat přicházejících z internetu brát jako obyčejný text, ale v určité chvíli je předal systému jako příkaz ke spuštění. Je to, jako by někdo do políčka pro jméno napsal pokyn a server ho místo uložení jména provedl.

Útočník nepotřebuje přihlášení ani heslo a útočit může odkudkoli z internetu. Po úspěšném útoku nahraje na server takzvaný webshell, malý soubor, přes který pak na dálku spouští libovolné příkazy. Ty běží pod účtem webového serveru, takže útočník vidí a může měnit vše, k čemu má tento účet přístup.

Závažnost se měří skóre CVSS. Databáze NVD dává této chybě 9,8 z 10, což je kritická úroveň. Původní záznam CVE a oznámení Nextcloudu uvádějí 9,2 podle novější verze CVSS 4.0, i to je kritické pásmo. Zařazení do katalogu CISA KEV znamená, že zneužívání je potvrzené v praxi. Ukazatel EPSS odhaduje pravděpodobnost zneužití na necelých 12 procent, čímž chybu řadí mezi čtyři procenta nejrizikovějších.

Koho se to týká

Ohrožené jsou instalace Nextcloudu s doplňkem Collabora Online Built-in CODE Server (richdocumentscode) ve verzi 26.4.302 nebo starší. Podle vývojářů Collabory jde o takzvanou Development Edition v režimu, kdy doplněk spouští Collaboru z lokálního souboru AppImage přímo na serveru.

Samostatných instalací Collabora Online se chyba netýká. V bezpečí jste, pokud máte jen doplněk richdocuments bez richdocumentscode, pokud Collaboru provozujete přes Docker nebo z balíčku linuxové distribuce, nebo pokud ji máte u poskytovatele, jako jsou IONOS, Hostinger či Cloud42.

Doplněk se používá hlavně tam, kde si firma nebo organizace provozuje vlastní Nextcloud a chce v něm upravovat dokumenty bez samostatného serveru Collabora.

Jak zjistit, zda jste zasaženi

Verzi doplňku zjistíte ve správě Nextcloudu v části Aplikace nebo v příkazovém řádku. Příkazy spouštějte ve složce Nextcloudu (často /var/www/nextcloud). Uživatel webového serveru se u vás může jmenovat i jinak než www-data. Všechny příkazy níže jen čtou a nic nemění.

sudo -u www-data php occ app:list | grep richdocumentscode

Pokud vidíte verzi 26.4.302 nebo nižší, jste zranitelní. Vestavěná kontrola integrity navíc ukáže soubory, které do doplňku nepatří.

sudo -u www-data php occ integrity:check-app richdocumentscode

V přístupových lozích webového serveru hledejte požadavky na proxy.php. Příkaz níže prohledá i starší, komprimované logy. U Nginx jsou logy v /var/log/nginx/. Při běžném provozu jsou takové požadavky normální. Podezřelé jsou ty s neobvyklými znaky v adrese, například $(, %24%28 nebo %2e%2e.

zgrep "richdocumentscode/proxy.php" /var/log/apache2/access.log*

Jak to opravit

Aktualizujte doplněk richdocumentscode na verzi 26.4.303 nebo novější. Tato verze chybu odstraňuje a vyšla už v září 2026.

Opravená verze vyžaduje alespoň Nextcloud 30, Nextcloud 29 už nepodporuje. Pokud máte starší, nejprve aktualizujte samotný Nextcloud. V Nextcloudu doporučují přejít na podporovanou verzi, například 33 nebo 34.

Ověřte, že máte čerstvou zálohu serveru i dat.
Ještě před aktualizací spusťte kontroly z předchozí části, ať nepřijdete o stopy případného útoku.
Pokud máte Nextcloud 29 nebo starší, nejprve ho aktualizujte na podporovanou verzi.
Aktualizujte doplněk Collabora Online Built-in CODE Server na verzi 26.4.303 nebo novější.
Pokud doplněk nepotřebujete, zvažte jeho odstranění. Pokud chcete dokumenty dál upravovat, nahraďte ho samostatnou Collaborou, například přes Docker.

Pokud nemůžete aktualizovat hned, doplněk vypněte a nejlépe i odstraňte. Samotné vypnutí nemusí stačit. Uživatelé hlásili, že požadavky na proxy.php přicházely i na vypnutý doplněk. Před odstraněním si zkontrolujte logy a soubory podle další části, ať nepřijdete o stopy útoku.

Co když už jste mohli být napadeni

Pokud jste měli zranitelnou verzi dostupnou z internetu, zejména v době, kdy vestavěný CODE server neběžel (po restartu, aktualizaci nebo pádu), mohli jste být napadeni. Podívejte se do složky doplňku, jestli v ní nepřibyly neznámé soubory PHP.

Z reálných útoků jsou známé webshelly s názvy ve tvaru shx*.php a shrf*.php a objevil se i soubor Nx_33143.php. Kontrola integrity je hlásí jako soubor navíc (EXTRA_FILE). V přístupových lozích hledejte požadavky na proxy.php?status zpětně až k 10. září 2026. V hlášeních se objevily IP adresy 139.28.18.122 a 89.38.98.50 a doména webhook.site.

Útočníci na napadených serverech hledali hesla a kryptoměnové peněženky, například soubory *.kdbx, wallet.dat a data správců hesel. Pokud jste byli zranitelní a CODE server mezitím neběžel, preventivně změňte všechny přístupové údaje, které mohl číst účet webového serveru, hlavně heslo k databázi a hesla aplikací. Pokud najdete webshell nebo jiné stopy průniku, odpojte server od sítě a přizvěte bezpečnostního odborníka. Samotné smazání souboru nemusí stačit.

Zdroje

Články sestavuje AI agent z veřejných zdrojů (výrobci, CISA, ENISA, NVD, NÚKIB, SK-CERT) a čísla verzí i CVE proti nim automaticky ověřuje. Před zásahem do produkce si postup vždy ověřte v bulletinu výrobce.