Для кого эта статья: для администраторов, которые запускают Nextcloud на собственном сервере или VPS и установили приложение Collabora Online - Built-in CODE Server (ID приложения richdocumentscode, приложение, которое запускает сервер редактирования офисных документов внутри Nextcloud). Страница основана на сообщении безопасности и блоге разработчиков, а также на открытых данных CISA. Она не описывает, как работают атаки.
Ситуация развивается: страница будет обновляться по мере публикации новых данных
По состоянию на 23:00 UTC, 24 октября 2026 годаПока неизвестно
- Сколько серверов или организаций пострадали
- Кто стоит за атаками
- Официальные рекомендации по проверке компрометации (в сообщении безопасности их нет)
- Попадает ли под уязвимость приложение с тем же названием для ARM64 (richdocumentscode_arm64)
Разработчики опубликовали сообщение безопасности и CVE 14 октября и объяснили масштаб проблемы в блоге 15 октября. CISA добавило уязвимость в KEV 23 октября. Ни количество пострадавших, ни то, кто стоит за атаками, не опубликованы. Страница будет обновлена, когда сообщение безопасности будет пересмотрено.
Что делать сегодня (если установлено встроенное приложение CODE)
Проверьте, установлено ли приложение и какая у него версия
Войдите как администратор и найдите Collabora Online - Built-in CODE Server на странице «Приложения». Проверьте список отключенных приложений, а также включенных. Из командной строки выполните php occ app:list в каталоге Nextcloud от имени пользователя веб-сервера: команда покажет каждое приложение, включено ли оно и его версию. Если richdocumentscode не отображается, эта уязвимость вас не затрагивает.
Перед обновлением или удалением сохраните результаты проверки и копию каталога
Обновление или удаление приложения заменяет его каталог, и созданные злоумышленником файлы и другие улики будут потеряны. Сначала выполните php occ integrity:check-app richdocumentscode, сохраните вывод, затем скопируйте весь каталог приложения (richdocumentscode в apps или custom_apps) в другое место (рекомендация этого сайта).
Если версия ниже 26.4.303, обновите приложение
Обновите его на странице «Приложения» или командой php occ app:update richdocumentscode. Исправление есть в версии 26.4.303; по состоянию на 25 октября магазин приложений предлагает для Nextcloud 30 и новее версию 26.4.502. После обновления убедитесь, что версия 26.4.303 или выше.
Если оно вам не нужно или у вас Nextcloud 29 или более ранней версии, удалите его
Разработчики заявляют, что отключение не устраняет проблему. Если приложение вам не нужно, удалите его командой php occ app:remove richdocumentscode и проверьте, что каталог приложения (richdocumentscode в apps или custom_apps) исчез. Для Nextcloud 29 и более ранних версий исправленной версии не предлагается, поэтому обновите Nextcloud до версии 30 или новее либо удалите приложение.
Проверьте признаки взлома
Если в любой момент с примерно 10 сентября вы использовали версию ниже исправленной, проверьте скопированный каталог приложения, журналы веб-сервера и запущенные процессы, как описано в разделе «Как проверить признаки компрометации» ниже. Обновление может не удалить файлы, которые уже были созданы.
Если вы нашли следы, сначала изолируйте сервер
Если вы нашли файлы или процессы, которые не узнаете, не удаляйте их без разбора и не продолжайте работу. Отключите сервер от сети, сохраните журналы и улики, затем переходите к смене учетных данных и восстановлению. Шаги описаны в разделе «Если сервер был скомпрометирован» ниже.
Затронуты ли вы? Краткая справка
| Что вы используете | Затронуты? | Что делать |
|---|---|---|
| richdocumentscode установлено, версия до 26.4.303 (включено или отключено) | Да (по сообщению безопасности) | Обновить или удалить |
| richdocumentscode 26.4.303 или новее | Исправлено (по сообщению безопасности) | Проверить следы, оставшиеся от периода до обновления (рекомендация этого сайта) |
| richdocumentscode на Nextcloud 29 или более ранней версии | Да. Самая новая версия для 29 и более ранних — 26.4.104, она старше исправления | Обновить Nextcloud до версии 30 или новее либо удалить приложение (по сообщению безопасности) |
| Подключение к отдельному серверу Collabora Online (только Nextcloud Office, richdocuments) | Не затронуто (по сообщению безопасности) | Для этой CVE ничего делать не нужно |
| Docker-образ Collabora, пакеты RPM/DEB, Nextcloud All-in-One | Не затронуто (по блогу разработчиков) | Для этой CVE ничего делать не нужно |
| richdocumentscode_arm64 (приложение для ARM64) | В сообщении безопасности не упоминается | Та же линейка версий; рекомендуем обновить до последней (мнение этого сайта) |
Даже при использовании All-in-One, если позже вы добавили richdocumentscode со страницы «Приложения», считайте это приложение затронутым (мнение этого сайта). Затронутость зависит от того, установлен ли richdocumentscode, а не от названия вашей конфигурации.
1. Установлено?
richdocumentscode есть, включая отключенное
2. Версия
Затронуто, если ниже 26.4.303
3. Следы с 10 сентября
Проверьте, если использовалась старая версия
Что было раскрыто (сообщение безопасности разработчиков)
- CVE
- CVE-2026-110447 (GHSA-g3vx-3m76-fghh)
- Тип
- Инъекция команд ОС (CWE-78) в proxy.php приложения
- Серьезность
- CVSS v4.0 9.2 (критическая). Сетевой вектор атаки, аутентификация не нужна, действия пользователя не требуются. Есть требования к атаке (AT:P)
- Последствия
- Команды ОС могут выполняться от имени пользователя веб-сервера
- Условие
- Встроенный сервер CODE не запущен (например, после перезапуска контейнера, обновления или сбоя)
- Затронуто
- richdocumentscode до версии 26.4.303
- Исправление
- Обновить до версии 26.4.303 или новее либо удалить приложение. Отключения недостаточно. На Nextcloud 29 и более ранних версиях обновить Nextcloud или удалить приложение
- Не затронуто
- Отдельные серверы Collabora Online (по сообщению безопасности). Docker-образы, пакеты RPM/DEB, Nextcloud All-in-One (по блогу разработчиков)
- Выпуск исправления
- 26.4.303 от 11 сентября 2026 года (по списку релизов разработчиков)
В сообщении безопасности сказано, что эта уязвимость использует другой путь, чем более ранняя уязвимость (CVE-2025-66208), и исправление для нее не устраняет эту. Устранение предыдущей уязвимости не отменяет необходимости в этом обновлении.
CISA добавило CVE-2026-110447 в KEV 23 октября и установило срок 26 октября для федеральных агентств США. В записи KEV указано, что уязвимость требует судебно-технического анализа. Использование в кампаниях с программами-вымогателями указано как «Unknown» («неизвестно»).
Когда начались атаки
Исправление вышло 11 сентября, но сообщение безопасности и CVE были опубликованы только 14 октября. Тем временем пользователи сообщали в репозитории разработчиков, что примерно с 10 сентября они видели подозрительные запросы к proxy.php и незнакомые PHP-файлы в каталоге приложения. На форуме сообщества Nextcloud один пользователь 3 октября призвал других обновиться.
По данным BleepingComputer (15 октября), установленные веб-шеллы (вредоносные файлы, которые позволяют постороннему отправлять команды серверу) использовались для поиска файлов хранилищ паролей и криптокошельков. Некоторые пользователи говорили, что была задействована программа-вымогатель, но издание пишет, что не смогло это подтвердить. Согласно тому же материалу, разработчики объяснили позднее объявление накоплением задач в обработке CVE.
Мнение этого сайта: в месяц между исправлением и сообщением безопасности у администраторов, которые не обновляли приложения автоматически, не было сигнала, что обновление срочное. Подход «устанавливать исправление, когда появляется сообщение безопасности» оставляет открытым весь этот период. Приложения Nextcloud нуждаются в собственной проверке обновлений, отдельной от самого Nextcloud.
Отключенное и забытое приложение все равно учитывается
Разработчики заявляют, что отключение приложения не устраняет проблему. Если вы когда-то установили его, чтобы попробовать, а потом перестали пользоваться, проверьте его, пока его файлы еще на месте. Вывод здесь такой: удаляйте неиспользуемые приложения, а не только отключайте их (мнение этого сайта).
Как проверить признаки компрометации (проверки со стороны администратора)
Это проверки, которые администратор выполняет на собственном сервере. Не пытайтесь воспроизвести атаку.
Запустите проверку целостности Nextcloud
Nextcloud может проверить, совпадают ли файлы приложения с опубликованным релизом. Выполните php occ integrity:check-app richdocumentscode и ищите файлы, которых нет в релизе (EXTRA_FILE), или файлы с отличающимся содержимым. Пользователи сообщали, что заметили взлом, когда проверка целостности Nextcloud не прошла. Как и в разделе «Что делать сегодня», выполните ее до обновления или удаления приложения и сохраните вывод.
Ищите незнакомые файлы в каталогах приложения и веб-сервера
Кроме каталога richdocumentscode, составьте список PHP-файлов, созданных или измененных с 10 сентября, во всем каталоге Nextcloud (например, find /path/to/nextcloud -name "*.php" -newermt 2026-09-10). Обновления тоже меняют даты, поэтому обращайте внимание на имена, которых нет в официальном релизе.
Проверьте журналы веб-сервера на запросы к proxy.php
Извлеките запросы к proxy.php из richdocumentscode из журналов доступа (например, grep "richdocumentscode/proxy.php" access.log*). Ищите запросы примерно с 10 сентября с незнакомых адресов или запросы с необычно длинными строками. Некоторые запросы используют кодирование URL, поэтому также ищите просто строки с «proxy.php» (например, grep "proxy.php" access.log*). Если журналы хранятся недолго, проверьте, что осталось, и запишите период, который они покрывают.
Проверьте процессы и соединения от имени пользователя веб-сервера
Проверьте процессы, запущенные от имени пользователя веб-сервера (www-data, apache, nginx и т. д.), и исходящие соединения. Ищите оболочки, инструменты загрузки или что-либо еще, что веб-сервер обычно не запускает. Наше руководство по теме как проверить, не взломан ли ваш сайт или сервер описывает весь процесс.
Если сервер был скомпрометирован
Поскольку команды выполняются от имени пользователя веб-сервера, считайте, что все, что этот пользователь может прочитать, могло быть просмотрено (мнение этого сайта). Для Nextcloud это включает пароль базы данных и учетные данные внешнего хранилища и почты из config.php, а также файлы пользователей.
Чего следует избегать
- Удалять найденные файлы и продолжать работу
- Обновлять систему, не проверив, не проник ли кто-то внутрь
- Переустанавливать сервер до сохранения журналов
- Восстанавливать систему без смены учетных данных
Рекомендуемые действия
- Сначала отключите сервер от сети и сохраните копии журналов и улик в другом месте
- Смените пароли базы данных, внешнего хранилища, почты, администратора и приложений
- Восстановите систему из резервной копии, снятой до 10 сентября, или переустановите ее и примените исправление до возврата в эксплуатацию
- Решите, нужно ли сообщить пользователям, что их файлы могли быть просмотрены
Восстановленная резервная копия может вернуть старую версию richdocumentscode. Обновите или удалите приложение, прежде чем снова открыть доступ к серверу. Если сервером пользуется организация, проверьте, есть ли у вас обязанности по отчетности о персональных данных. Наше руководство об основах резервного копирования описывает базовые принципы восстановления.
О том, как расставлять приоритеты для уязвимостей из KEV, см. как решить, что исправлять в первую очередь, с помощью CVSS, EPSS и KEV.
Что пока неизвестно
| Пункт | Статус |
|---|---|
| Активная эксплуатация | Подтверждена (CISA KEV) |
| Когда начались атаки | Сообщения пользователей примерно с 10 сентября в репозитории разработчиков; официального заявления нет |
| Количество затронутых серверов или организаций | Не указано |
| Кто стоит за атаками | Не указано |
| Использование программ-вымогателей | «Unknown» в KEV; пресса пишет, что не смогла подтвердить |
| Официальные проверки компрометации или индикаторы | В сообщении безопасности отсутствуют |
| Приложение для ARM64 (richdocumentscode_arm64) | В сообщении безопасности не упоминается |
Источники
- Разработчики Collabora Online, «Unauthenticated OS command injection in the richdocumentscode proxy» (GHSA-g3vx-3m76-fghh, 14 октября 2026 года) — github.com
- Блог разработчиков Collabora Online, «Stay Safe: Upgrade Everything Regularly» (15 октября 2026 года) — collaboraonline.com
- Список релизов richdocumentscode (26.4.303: 11 сентября) — github.com
- Issue #354 richdocumentscode (сообщения пользователей об атаках, с 11 сентября) — github.com
- Форум сообщества Nextcloud, «To Collabora Built-in User: Update ASAP» (с 3 октября) — help.nextcloud.com
- CISA, каталог известных эксплуатируемых уязвимостей (CVE-2026-110447) — cisa.gov
- BleepingComputer, «Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers» (15 октября 2026 года) — bleepingcomputer.com
История обновлений
2026-10-25: первая версия, основанная на сообщении безопасности, блоге и списке релизов разработчиков, каталоге KEV CISA и сообщениях прессы.
Читайте далее
- Проверка компрометации: Как проверить, не взломан ли ваш сайт или сервер
- Приоритеты исправлений: Что исправлять в первую очередь: CVSS, EPSS и KEV
- Восстановление: Основы резервного копирования
- Другая эксплуатируемая уязвимость того же периода: SiteGuard Server Edition CVE-2026-106931
- Глоссарий: Что такое RCE? / Что такое бэкдор? / Что такое CVSS?