☁️ Nextcloud kullananlar dikkat: Collabora "Built-in CODE Server" açığıyla sunuculara arka kapı kuruldu, CISA aktif istismar listesine aldı

Siber Haberler · Güncel
, , , ,
1

Ne oldu? Nextcloud’un belge düzenleme eklentisi Collabora Online – Built-in CODE Server (richdocumentscode) uygulamasındaki bir açık, Eylül’den beri sunuculara arka kapı kurmak için kullanılıyor. ABD siber güvenlik ajansı CISA, açığı 23 Ekim 2026’da aktif istismar edilen açıklar kataloğuna (KEV) ekledi. Kontrol tarihi: 24 Ekim 2026 (TR).

Olayın özeti

  • Açık: CVE-2026-110447, giriş yapmadan komut çalıştırma (komut enjeksiyonu). Önem puanı 9,2 (kritik).
  • Sorun proxy.php dosyasında. Saldırı yalnızca uygulamanın yerel belge sunucusu kapalıyken (yeniden başlatma, güncelleme ya da çökme sırasında) çalışıyor.
  • Yalnızca “Built-in” (yerleşik) mod etkileniyor. Ayrı kurulmuş Collabora sunucuları ve tek başına richdocuments uygulaması etkilenmiyor.
  • Düzeltme 26.4.303 sürümüyle 11 Eylül’de çıktı ama güvenlik notu olmadan. İlk saldırı kaydı 10 Eylül. Resmi duyuru ve CVE ancak 14 Ekim’de yayımlandı.
  • Saldırganlar uygulama klasörüne tek satırlık PHP web shell dosyaları bıraktı, sistem bilgisini dışarı gönderdi; bir sunucuda şifre kasası ve kripto cüzdan dosyası aradı. Root yetkisi alındığına dair rapor yok.

Ne yapmalısın?

  1. richdocumentscode uygulamasını 26.4.303 veya üstüne güncelle ya da tamamen kaldır. Collabora’nın uyarısı: “Uygulamayı devre dışı bırakmak yetmez; güncellenmeli ya da kaldırılmalı.”
  2. Nextcloud 29 ve öncesi bu sürümü çalıştıramaz. Önce Nextcloud’u güncelle ya da uygulamayı kaldır.
  3. Güncellediysen bile apps/richdocumentscode/ klasöründe shx*.php adlı dosyaları ara ve sil.
  4. Erişim kayıtlarında 10 Eylül’den bu yana proxy.php?status isteklerinde %2e%2e, $( ya da ${IFS} geçenleri incele.
  5. Sunucunun web kullanıcısının okuyabildiği her şeyi (veritabanı şifreleri, anahtarlar) sızmış say ve yenile.

PHP tabanlı sitelerde web shell nasıl aranır, genel adımlar: PHP2Shell korunma ve kurtarma rehberi

Kaynaklar: CISA KEV duyurusu (23 Ekim 2026), Collabora resmi güvenlik duyurusu (GitHub), The Hacker News, Nextcloud topluluk uyarısı, Tenable CVE kaydı. Kontrol tarihi: 24 Ekim 2026.