Opublikowany 14 października 2026 r. wpis GitHub Advisory Database odróżnia CVE-2026-110447 od CVE-2025-66208 i opisuje wykorzystanie luki we wrześniu oraz październiku 2026 r. Luka dotyczy wbudowanej aplikacji richdocumentscode w Nextcloud. Pasquale Pillitteri podaje, że aktualizacja zamyka podatną ścieżkę, ale nie usuwa webshella zapisanego wcześniej na serwerze (relacja Pillitteriego).
Którego wdrożenia Nextcloud dotyczy luka?
CVE-2026-110447 dotyczy aplikacji Nextcloud Collabora Online - Built-in CODE Server (richdocumentscode). Wpis GitHub Advisory Database opisuje wstrzyknięcie poleceń systemowych w proxy.php, gdy lokalny serwer CODE nie działa. Wskazuje wersje wcześniejsze niż 26.4.303 jako podatne i zaznacza, że samodzielne serwery Collabora Online nie są objęte tą luką (wpis GitHub Advisory Database).
To rozróżnienie jest istotne: sama obecność Nextcloud Office lub zewnętrznego serwera Collabora Online nie oznacza, że instalacja korzysta z podatnej aplikacji. Wcześniejsze omówienie ostrzeżenia dotyczącego aplikacji Built-in CODE znajdziesz w artykule NeoTeo.
Co zgłoszono o webshellach?
Według relacji Pillitteriego nieuwierzytelnione żądania do proxy.php?status prowadziły do zapisania pliku webshell PHP w katalogu aplikacji. Taki skrypt działał z uprawnieniami użytkownika serwera WWW, zwykle www-data. Pillitteri opisał również trzy publiczne relacje administratorów o incydentach; nie przedstawiał ich jako pełnego zestawienia zaatakowanych instalacji.
The Hacker News opublikował ostrzeżenie o webshellach umieszczanych przez wbudowaną aplikację CODE i zalecił aktualizację lub usunięcie aplikacji. Jego post jest po angielsku:
Jak postąpić z podatną instalacją?
Pillitteri zaleca zaktualizowanie richdocumentscode do wersji 26.4.303 lub nowszej albo usunięcie aplikacji; samo jej wyłączenie nie zamyka podatnej ścieżki. Aktualizacja nie usuwa webshella, który mógł zostać zapisany wcześniej, dlatego opisane działania obejmują także sprawdzenie plików i logów. W przypadku Nextcloud 29 lub starszego Pillitteri zaleca aktualizację platformy albo usunięcie aplikacji, ponieważ te wersje nie mogą zainstalować poprawionej wersji richdocumentscode.
W opisie reakcji Pillitteri wskazuje na wyszukanie plików shx*.php i shrf*.php oraz sprawdzenie logów dostępu od 10 września pod kątem żądań do proxy.php?status. Jeśli administrator znajdzie webshell, zalecanym kolejnym krokiem jest zmiana sekretów dostępnych dla użytkownika serwera WWW.
