대상 독자: 자체 서버 또는 VPS에서 Nextcloud를 운영하며 Collabora Online - Built-in CODE Server(앱 ID richdocumentscode, Nextcloud 안에서 오피스 문서 편집 서버를 실행하는 앱)를 설치한 관리자입니다. 이 페이지는 개발자의 보안 권고문과 블로그, 그리고 CISA의 공개 자료를 바탕으로 합니다. 공격 방식은 다루지 않습니다.
진행 중: 추가 공개 내용에 따라 이 페이지를 업데이트합니다
2026년 10월 24일 23:00 UTC 기준아직 알려지지 않음
- 영향을 받은 서버 또는 조직의 수
- 공격의 배후
- 침해 여부 확인에 대한 공식 지침(권고문에 없음)
- 같은 이름의 ARM64 앱(richdocumentscode_arm64)이 포함되는지 여부
개발자들은 10월 14일 보안 권고문과 CVE를 공개했고, 10월 15일 블로그 글에서 영향 범위를 설명했습니다. CISA는 10월 23일 이 취약점을 KEV에 추가했습니다. 피해 규모와 공격 배후는 아직 공개되지 않았습니다. 권고문이 개정되면 이 페이지를 업데이트하겠습니다.
오늘 해야 할 일(내장 CODE 앱이 설치된 경우)
앱이 설치되어 있는지, 그리고 어떤 버전인지 확인하십시오
관리자로 로그인해 앱 페이지에서 Collabora Online - Built-in CODE Server를 찾으십시오. 활성화된 앱뿐 아니라 비활성화된 앱 목록도 확인하십시오. 명령줄에서는 웹 서버 사용자로 Nextcloud 디렉터리에서 php occ app:list를 실행하십시오. 각 앱, 활성화 여부, 버전이 표시됩니다. richdocumentscode가 나타나지 않는다면 이 취약점의 영향을 받지 않습니다.
업데이트 또는 제거 전에 확인 결과와 디렉터리 사본을 저장하십시오
앱을 업데이트하거나 제거하면 앱 디렉터리가 교체되므로 심어진 파일과 다른 증거가 사라질 수 있습니다. 먼저 php occ integrity:check-app richdocumentscode를 실행하고 출력을 저장한 다음, 전체 앱 디렉터리(apps 또는 custom_apps 아래의 richdocumentscode)를 다른 곳에 복사하십시오(이 사이트의 권장 사항).
26.4.303 미만이라면 업데이트하십시오
앱 페이지에서 업데이트하거나 php occ app:update richdocumentscode를 실행하십시오. 수정 버전은 26.4.303이며, 10월 25일 기준 앱 스토어는 Nextcloud 30 이상에 대해 26.4.502를 제공합니다. 업데이트 후 버전이 26.4.303 이상인지 확인하십시오.
사용하지 않거나 Nextcloud 29 이하를 사용한다면 제거하십시오
개발자들은 비활성화만으로는 문제가 방지되지 않는다고 말합니다. 사용하지 않는다면 php occ app:remove richdocumentscode로 제거하고, 앱 디렉터리(apps 또는 custom_apps 아래의 richdocumentscode)가 없어졌는지 확인하십시오. Nextcloud 29 이하에는 수정 버전이 제공되지 않으므로, Nextcloud를 30 이상으로 업그레이드하거나 앱을 제거하십시오.
침입 흔적을 확인하십시오
약 9월 10일 이후 어느 시점에든 수정 전 버전을 사용했다면, 아래 "침해 여부 확인 방법"에 설명된 대로 복사한 앱 디렉터리, 웹 서버 로그, 실행 중인 프로세스를 확인하십시오. 업데이트만으로는 이미 심어진 파일이 제거되지 않을 수 있습니다.
흔적을 발견하면 먼저 격리하십시오
알아볼 수 없는 파일이나 프로세스를 발견하면 바로 삭제하고 넘어가지 마십시오. 서버를 네트워크에서 분리하고, 로그와 증거를 보관한 다음, 자격 증명 변경과 복구로 넘어가십시오. 절차는 아래 "서버가 침해된 경우"에 있습니다.
영향 여부: 빠른 확인표
| 운영 환경 | 영향 여부 | 조치 |
|---|---|---|
| richdocumentscode 설치, 26.4.303 이전(활성 또는 비활성) | 예(권고문 기준) | 업데이트 또는 제거 |
| richdocumentscode 26.4.303 이상 | 수정됨(권고문 기준) | 업데이트 이전 흔적 확인(이 사이트 권장) |
| Nextcloud 29 이하의 richdocumentscode | 예. 29 이하에 제공되는 최신 버전은 26.4.104로 수정 전 버전 | Nextcloud를 30 이상으로 업그레이드하거나 앱 제거(권고문 기준) |
| 독립형 Collabora Online 서버 연결(Nextcloud Office, richdocuments만 해당) | 영향 없음(권고문 기준) | 이 CVE에 대한 조치 없음 |
| Collabora Docker 이미지, RPM/DEB 패키지, Nextcloud All-in-One | 영향 없음(개발자 블로그 기준) | 이 CVE에 대한 조치 없음 |
| richdocumentscode_arm64(ARM64 앱) | 권고문에 언급되지 않음 | 같은 버전 라인이므로 최신 버전으로 업데이트 권장(이 사이트의 견해) |
All-in-One을 사용하더라도 나중에 앱 페이지에서 richdocumentscode를 추가했다면 해당 앱을 영향 받는 것으로 확인하십시오(이 사이트의 견해). 영향 여부는 설치 방식의 이름이 아니라 richdocumentscode가 설치되어 있는지에 따라 결정됩니다.
1. 설치되어 있나요?
richdocumentscode 존재 여부(비활성 포함)
2. 버전
26.4.303 미만이면 영향 받음
3. 9월 10일 이후 흔적
이전 버전을 사용했다면 확인
공개된 내용(개발자 권고문)
- CVE
- CVE-2026-110447 (GHSA-g3vx-3m76-fghh)
- 유형
- 앱의 proxy.php에 있는 OS 명령 주입(CWE-78)
- 심각도
- CVSS v4.0 9.2(critical). 네트워크 공격 벡터, 인증 불필요, 사용자 상호작용 불필요. 공격 조건 존재(AT:P)
- 영향
- OS 명령이 웹 서버 사용자 권한으로 실행될 수 있음
- 조건
- 내장 CODE 서버가 실행 중이 아님(예: 컨테이너 재시작, 업그레이드 또는 충돌 이후)
- 영향 버전
- richdocumentscode 26.4.303 이전
- 수정
- 26.4.303 이상으로 업데이트하거나 앱 제거. 비활성화만으로는 불충분. Nextcloud 29 이하에서는 Nextcloud를 업데이트하거나 앱 제거
- 영향 없음
- 독립형 Collabora Online 서버(권고문). Docker 이미지, RPM/DEB 패키지, Nextcloud All-in-One(개발자 블로그)
- 수정 출시
- 26.4.303, 2026년 9월 11일(개발자 릴리스 목록)
권고문은 이 취약점이 이전 취약점(CVE-2025-66208)과 다른 경로를 사용하며, 그 취약점의 수정으로는 이 취약점을 막을 수 없다고 설명합니다. 이전 취약점을 처리했다고 해서 이번 업데이트가 필요 없어지지는 않습니다.
CISA는 10월 23일 CVE-2026-110447을 KEV에 추가했고, 미국 연방 기관의 기한을 10월 26일로 정했습니다. KEV 항목에는 포렌식 분류가 필요하다고 표시되어 있습니다. 랜섬웨어 캠페인에서 사용되었는지는 "Unknown"으로 기재되어 있습니다.
공격이 시작된 시점
수정 버전은 9월 11일에 출시되었지만, 권고문과 CVE는 10월 14일에야 공개되었습니다. 그 사이 사용자들은 개발자 저장소에 약 9월 10일부터 proxy.php에 대한 의심스러운 요청과 앱 디렉터리에서 알아볼 수 없는 PHP 파일을 보았다고 보고했습니다. Nextcloud 커뮤니티 포럼에서는 한 사용자가 10월 3일 다른 사람들에게 업데이트를 서두르라고 촉구했습니다.
BleepingComputer(10월 15일)에 따르면, 심어진 웹 셸(외부인이 서버에 명령을 보낼 수 있게 하는 악성 파일)은 비밀번호 보관 파일과 암호화폐 지갑을 찾는 데 사용되었습니다. 일부 사용자는 랜섬웨어가 관련되었다고 말했지만, 해당 매체는 이를 확인할 수 없었다고 밝혔습니다. 같은 보도에 따르면 개발자들은 발표가 늦어진 이유를 CVE 처리 적체 탓으로 돌렸습니다.
이 사이트의 견해: 수정 출시와 권고문 공개 사이 한 달 동안, 앱을 자동으로 업데이트하지 않은 관리자들은 이 업데이트가 긴급하다는 신호를 받지 못했습니다. "권고문이 나오면 패치한다"는 방식은 이 전체 기간을 그대로 열어 둡니다. Nextcloud 앱은 Nextcloud 자체와 별도로 업데이트를 확인해야 합니다.
비활성화되어 잊힌 앱도 영향 대상에 포함됩니다
개발자들은 앱을 비활성화해도 문제가 방지되지 않는다고 말합니다. 한때 시험 삼아 설치했다가 사용을 중단한 앱이 있다면, 파일이 남아 있는 동안 확인하십시오. 여기서의 교훈은 사용하지 않는 앱을 비활성화만 하지 말고 제거하라는 것입니다(이 사이트의 견해).
침해 여부 확인 방법(방어자 관점 점검)
아래는 관리자가 자신의 서버에서 실행하는 점검입니다. 공격을 재현하려 하지 마십시오.
Nextcloud 무결성 검사를 실행하십시오
Nextcloud는 앱 파일이 공개된 릴리스와 일치하는지 확인할 수 있습니다. php occ integrity:check-app richdocumentscode를 실행하고, 릴리스에 없는 파일(EXTRA_FILE)이나 내용이 다른 파일을 찾으십시오. 사용자들은 Nextcloud 무결성 검사가 실패했을 때 침해를 알아챘다고 보고했습니다. 위 "오늘 해야 할 일"에서처럼 앱을 업데이트하거나 제거하기 전에 실행하고 결과를 저장하십시오.
앱 디렉터리와 웹 디렉터리에서 알 수 없는 파일을 찾으십시오
richdocumentscode 디렉터리 외에도, 9월 10일 이후 생성되거나 변경된 PHP 파일을 Nextcloud 디렉터리 전체에서 찾으십시오(예: find /path/to/nextcloud -name "*.php" -newermt 2026-09-10). 업데이트도 날짜를 바꾸므로, 공식 릴리스에 없는 파일 이름에 집중하십시오.
웹 서버 로그에서 proxy.php 요청을 확인하십시오
접근 로그에서 richdocumentscode의 proxy.php에 대한 요청을 추출하십시오(예: grep "richdocumentscode/proxy.php" access.log*). 약 9월 10일 이후 알 수 없는 출처에서 온 요청이나 비정상적으로 긴 문자열이 포함된 요청을 찾으십시오. 일부 요청은 URL 인코딩 형태를 사용하므로, "proxy.php"가 포함된 줄도 함께 단순 검색하십시오(예: grep "proxy.php" access.log*). 로그를 짧게만 보관한다면 남아 있는 내용을 확인하고 다루는 기간을 기록하십시오.
웹 서버 사용자의 프로세스와 연결을 확인하십시오
웹 서버 사용자(www-data, apache, nginx 등)로 실행 중인 프로세스와 외부 연결을 확인하십시오. 웹 서버가 평소 실행하지 않는 셸, 다운로드 도구 또는 기타 프로그램을 찾으십시오. 전체 절차는 웹사이트나 서버가 해킹되었는지 확인하는 방법을 참고하십시오.
서버가 침해된 경우
명령이 웹 서버 사용자 권한으로 실행되므로, 그 사용자가 읽을 수 있는 모든 것이 노출되었다고 가정하십시오(이 사이트의 견해). Nextcloud의 경우 여기에는 config.php의 데이터베이스 비밀번호와 외부 스토리지 및 메일 자격 증명, 그리고 사용자 파일이 포함됩니다.
피해야 할 대응
- 발견한 파일을 삭제하고 그대로 진행하기
- 누군가 침입했는지 확인하지 않고 업데이트만 하기
- 로그를 보관하기 전에 서버를 재구축하기
- 자격 증명을 바꾸지 않고 복구하기
권장 대응
- 먼저 서버를 네트워크에서 분리하고, 로그와 증거 사본을 다른 곳에 보관하기
- 데이터베이스, 외부 스토리지, 메일, 관리자 및 앱 비밀번호 변경하기
- 9월 10일 이전에 만든 백업에서 복구하거나 재구축하고, 온라인으로 되돌리기 전에 수정 적용하기
- 사용자에게 파일이 노출되었을 수 있음을 알릴지 결정하기
복구한 백업에는 오래된 richdocumentscode 버전이 다시 들어올 수 있습니다. 서버를 다시 공개하기 전에 앱을 업데이트하거나 제거하십시오. 조직이 서버를 사용한다면 개인정보 관련 신고 의무가 있는지 확인하십시오. 복구의 기본은 백업 핵심 정리를 참고하십시오.
KEV에 등재된 취약점의 우선순위를 정하는 방법은 CVSS, EPSS, KEV로 먼저 패치할 항목 정하기를 참고하십시오.
아직 알려지지 않은 사항
| 항목 | 상태 |
|---|---|
| 실제 악용 | 확인됨(CISA KEV) |
| 공격 시작 시점 | 개발자 저장소의 사용자 보고, 약 9월 10일부터. 공식 발표 없음 |
| 영향을 받은 서버 또는 조직의 수 | 공개되지 않음 |
| 공격의 배후 | 공개되지 않음 |
| 랜섬웨어 사용 | KEV에는 "Unknown"으로 기재. 언론은 확인하지 못했다고 밝힘 |
| 공식 침해 확인 방법 또는 지표 | 권고문에 없음 |
| ARM64 앱(richdocumentscode_arm64) | 권고문에 언급되지 않음 |
출처
- Collabora Online 개발자, "richdocumentscode 프록시의 인증되지 않은 OS 명령 주입"(GHSA-g3vx-3m76-fghh, 2026년 10월 14일) — github.com
- Collabora Online 개발자 블로그, "Stay Safe: Upgrade Everything Regularly"(2026년 10월 15일) — collaboraonline.com
- richdocumentscode 릴리스 목록(26.4.303: 9월 11일) — github.com
- richdocumentscode 이슈 #354(9월 11일부터 공격에 대한 사용자 보고) — github.com
- Nextcloud 커뮤니티 포럼, "To Collabora Built-in User: Update ASAP"(10월 3일부터) — help.nextcloud.com
- CISA, Known Exploited Vulnerabilities Catalog(CVE-2026-110447) — cisa.gov
- BleepingComputer, "Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers"(2026년 10월 15일) — bleepingcomputer.com
업데이트 기록
2026-10-25: 개발자 권고문, 블로그, 릴리스 목록, CISA KEV 카탈로그 및 언론 보도를 바탕으로 한 첫 버전.
다음으로 읽기
- 침해 확인: 웹사이트나 서버가 해킹되었는지 확인하는 방법
- 수정 우선순위: CVSS, EPSS, KEV로 먼저 패치할 항목 정하기
- 복구: 백업 핵심 정리
- 같은 시기의 악용된 다른 취약점: SiteGuard Server Edition CVE-2026-106931
- 용어집: RCE란? / 백도어란? / CVSS란?