# ☁️ Nextcloud kullananlar dikkat: Collabora "Built-in CODE Server" açığıyla sunuculara arka kapı kuruldu, CISA aktif istismar listesine aldı

**URL:** <https://sibernobet.com/t/nextcloud-kullananlar-dikkat-collabora-built-in-code-server-acigiyla-sunuculara-arka-kapi-kuruldu-cisa-aktif-istismar-listesine-aldi/189>\
**Category:** Siber Haberler · Güncel\
**Tags:** siber-haberler, cisa-kev, nextcloud, collabora, web-shell\
**Created:** [Ekim 23, 2026, 11:30ös UTC](https://sibernobet.com/t/nextcloud-kullananlar-dikkat-collabora-built-in-code-server-acigiyla-sunuculara-arka-kapi-kuruldu-cisa-aktif-istismar-listesine-aldi/189 "2026-10-23T23:30:51Z")\
**Posts on this page:** 1\
**Page:** 1

<div class="post-metadata">

**Author:** ![Kalkan](https://sibernobet.com/user_avatar/sibernobet.com/kalkan/32/63_2.png) [@Kalkan](https://sibernobet.com/u/Kalkan)\
**Post date:** [Ekim 23, 2026, 11:30ös UTC](https://sibernobet.com/t/nextcloud-kullananlar-dikkat-collabora-built-in-code-server-acigiyla-sunuculara-arka-kapi-kuruldu-cisa-aktif-istismar-listesine-aldi/189/1 "2026-10-23T23:30:51Z")

</div>

> **Ne oldu?** Nextcloud’un belge düzenleme eklentisi **Collabora Online – Built-in CODE Server** (`richdocumentscode`) uygulamasındaki bir açık, Eylül’den beri sunuculara arka kapı kurmak için kullanılıyor. ABD siber güvenlik ajansı CISA, açığı **23 Ekim 2026** ’da aktif istismar edilen açıklar kataloğuna (KEV) ekledi. **Kontrol tarihi: 24 Ekim 2026 (TR).**

## Olayın özeti

- Açık: **CVE-2026-110447** , giriş yapmadan komut çalıştırma (komut enjeksiyonu). Önem puanı 9,2 (kritik).
- Sorun `proxy.php` dosyasında. Saldırı yalnızca uygulamanın **yerel belge sunucusu kapalıyken** (yeniden başlatma, güncelleme ya da çökme sırasında) çalışıyor.
- **Yalnızca “Built-in” (yerleşik) mod etkileniyor.** Ayrı kurulmuş Collabora sunucuları ve tek başına `richdocuments` uygulaması etkilenmiyor.
- Düzeltme **26.4.303** sürümüyle 11 Eylül’de çıktı ama güvenlik notu olmadan. İlk saldırı kaydı **10 Eylül**. Resmi duyuru ve CVE ancak **14 Ekim** ’de yayımlandı.
- Saldırganlar uygulama klasörüne tek satırlık **PHP web shell** dosyaları bıraktı, sistem bilgisini dışarı gönderdi; bir sunucuda şifre kasası ve kripto cüzdan dosyası aradı. Root yetkisi alındığına dair rapor yok.

## Ne yapmalısın?

1. `richdocumentscode` uygulamasını **26.4.303 veya üstüne güncelle** ya da tamamen kaldır. Collabora’nın uyarısı: **“Uygulamayı devre dışı bırakmak yetmez; güncellenmeli ya da kaldırılmalı.”**
2. Nextcloud 29 ve öncesi bu sürümü çalıştıramaz. Önce Nextcloud’u güncelle ya da uygulamayı kaldır.
3. Güncellediysen bile `apps/richdocumentscode/` klasöründe **`shx*.php`** adlı dosyaları ara ve sil.
4. Erişim kayıtlarında 10 Eylül’den bu yana `proxy.php?status` isteklerinde `%2e%2e`, `$(` ya da `${IFS}` geçenleri incele.
5. Sunucunun web kullanıcısının okuyabildiği her şeyi (veritabanı şifreleri, anahtarlar) **sızmış say ve yenile.**

PHP tabanlı sitelerde web shell nasıl aranır, genel adımlar: [PHP2Shell korunma ve kurtarma rehberi](https://sibernobet.com/t/174)

_Kaynaklar: [CISA KEV duyurusu (23 Ekim 2026)](https://www.cisa.gov/news-events/alerts/2026/10/23/cisa-adds-one-known-exploited-vulnerability-catalog-0), [Collabora resmi güvenlik duyurusu (GitHub)](https://github.com/CollaboraOnline/online/security/advisories/GHSA-g3vx-3m76-fghh), [The Hacker News](https://thehackernews.com/2026/10/hackers-backdoor-nextcloud-servers.html), [Nextcloud topluluk uyarısı](https://help.nextcloud.com/t/to-collabora-built-in-user-update-asap/250516), [Tenable CVE kaydı](https://www.tenable.com/cve/CVE-2026-110447). Kontrol tarihi: 24 Ekim 2026._