Cảnh báo: Lỗ hổng nghiêm trọng trên ứng dụng Collabora cho Nextcloud bị khai thác để cài đặt Web Shell

Một lỗ hổng bảo mật nghiêm trọng trong ứng dụng tùy chọn Collabora Online – Built-in CODE Server (tên gói: richdocumentscode) dành cho Nextcloud đang bị kẻ tấn công khai thác để cài đặt các web shell trái phép. Theo các báo cáo từ quản trị viên trên GitHub, các cuộc tấn công đã bắt đầu xuất hiện từ ngày 10/9/2026.

Chi tiết về lỗ hổng

Lỗ hổng này cho phép kẻ tấn công thực thi lệnh từ xa mà không cần xác thực. Vấn đề nằm ở tệp proxy.php, nơi các tham số từ yêu cầu web được đưa trực tiếp vào một lệnh bash. Kẻ tấn công có thể chèn các lệnh độc hại thông qua đường dẫn yêu cầu (request path) khi máy chủ CODE cục bộ đang ở trạng thái khởi động, nâng cấp hoặc gặp sự cố.

Collabora đã phát hành bản vá trong phiên bản 26.4.303 vào ngày 11/9 và công bố mã định danh CVE-2026-110447 vào ngày 14/10. Đáng chú ý, việc vô hiệu hóa ứng dụng trong giao diện Nextcloud là không đủ để ngăn chặn rủi ro; người dùng bắt buộc phải cập nhật lên phiên bản mới nhất hoặc gỡ bỏ hoàn toàn ứng dụng.

Tác động và hành vi của kẻ tấn công

Các cuộc tấn công ghi nhận được cho thấy kẻ xấu sử dụng web shell để thực thi các lệnh hệ thống. Trong một số trường hợp, tin tặc đã tìm kiếm các tệp tin nhạy cảm như ví tiền điện tử (wallet.dat, .bitcoin, .ethereum…), tệp cấu hình trình quản lý mật khẩu (Bitwarden, 1Password) và các tệp tin có đuôi .kdbx.

Mặc dù chưa có bằng chứng về việc kẻ tấn công chiếm được quyền root, nhưng bất kỳ dữ liệu nào mà tài khoản web server có thể truy cập đều được coi là đã bị lộ. Các quản trị viên đã phát hiện sự hiện diện của các tệp tin lạ có tiền tố shx*.php trong thư mục ứng dụng.

Khuyến nghị hành động cho quản trị viên

Để bảo vệ hệ thống, quản trị viên cần thực hiện ngay các bước sau:

• Cập nhật hoặc gỡ bỏ: Nâng cấp richdocumentscode lên phiên bản 26.4.303 trở lên. Nếu không thể cập nhật, hãy gỡ bỏ ứng dụng này khỏi Nextcloud.
• Kiểm tra dấu vết: Tìm kiếm các tệp tin có tên dạng shx*.php trong thư mục apps/richdocumentscode/ và xóa bỏ chúng.
• Rà soát nhật ký (Log): Kiểm tra access log từ ngày 10/9 trở lại đây để tìm các yêu cầu bất thường đến proxy.php?status có chứa các ký tự như $(, ${IFS} hoặc %2e%2e.
• Đối với phiên bản cũ: Người dùng Nextcloud 29 trở xuống không thể cài đặt bản vá 26.4.303, do đó cần nâng cấp phiên bản Nextcloud hoặc gỡ bỏ ứng dụng bị ảnh hưởng.

Lưu ý: Các máy chủ sử dụng Collabora Online độc lập (standalone) không bị ảnh hưởng bởi lỗ hổng này. Chỉ những hệ thống sử dụng chế độ “Built-in CODE Server” (tự tải xuống appimage cục bộ) mới nằm trong diện nguy cơ.

Nguồn tham khảo: The Hacker News