Nextcloud’da Collabora açığı aktif sömürülüyor

Nextcloud sunucularında belge düzenleme için kullanılan Collabora Online – Built-in CODE Server eklentisinde kritik bir açık var ve bu açık şu anda gerçek saldırılarda kullanılıyor. CVE-2026-110447 kodu verilen sorun 23 Ekim 2026’da CISA’nın bilinen sömürülen açıklar (KEV) listesine eklendi. ABD’deki federal kurumlar için verilen kapatma süresi 26 Ekim 2026.

Hangi kurulumlar etkileniyor

Sorun yalnızca richdocumentscode paketinde, yani Nextcloud uygulama mağazasından kurulan “Built-in CODE Server” eklentisinde. 26.4.303 öncesi tüm sürümler etkileniyor, düzeltme 26.4.303 sürümünde. 2025’te duyurulan CVE-2025-66208 ile karıştırılmaması gerekiyor; Collabora o açığın düzeltmesinin bu sorunu kapatmadığını ayrıca belirtiyor.

Bağımsız çalışan Collabora Online sunucuları, Docker ile ya da dağıtımın RPM/DEB paketiyle kurulan sürümler ve Nextcloud All-in-One kurulumları etkilenmiyor. Belge düzenlemeyi ayrı bir Collabora sunucusu üzerinden veriyorsanız bu açık sizi kapsamıyor.

Açık nasıl işliyor

Zafiyet, eklentinin proxy.php adresindeki işletim sistemi komut enjeksiyonuna (CWE-78) dayanıyor. Saldırganın kimlik doğrulamasına ya da kullanıcı etkileşimine ihtiyacı yok; gönderilen özel bir istek, sunucuda web sunucusu kullanıcısının yetkileriyle komut çalıştırıyor. Kritik bir koşul var: dahili CODE sunucusu o anda çalışmıyor olmalı. Yeniden başlatma, güncelleme ya da çökme sonrası oluşan bu kısa pencerede istek, eklentinin kendi başlattığı süreçle karşılanıyor ve enjeksiyon devreye giriyor. Collabora açığa CVSS 4.0 ölçeğinde 9.2, yani kritik puan veriyor.

Sahada görülenler

Nextcloud yöneticilerinin paylaştığı raporlara göre saldırılar 10 Eylül’den itibaren görülmeye başladı. Düzeltme 9 Eylül’de kod tabanına girdi, 26.4.303 sürümü 11 Eylül’de yayınlandı; ancak güvenlik duyurusu ve CVE numarası 14 Ekim’de açıklandı. Aradaki dört haftayı aşan sürede açığın kimliği bilinmediği için savunma tarafında eşleştirme zorlaştı.

Saldırganların ele geçirdikleri sunuculara PHP web shell yerleştirdiği, ardından parola veritabanlarını, parola yöneticisi kalıntılarını ve kripto cüzdan dosyalarını aradığı bildirildi. Bazı yöneticiler fidye yazılımı operatörlerinin de açığı kullandığını aktardı; CISA kaydında fidye yazılımı kampanyası kullanımı “bilinmiyor” olarak işaretli. Açık otomatik araçlarla denenebilir durumda: CISA’nın SSVC değerlendirmesinde “otomatikleştirilebilir” alanı evet, teknik etki tam.

Ne yapmalı

Nextcloud yöneticisiyseniz ilk iş eklenti sürümünü kontrol edin. 26.4.303’ün altındaysa uygulama mağazasından güncelleyin. Eklentiyi kullanmıyorsanız kaldırmak en temiz çözüm. Yalnızca devre dışı bırakmak yetmiyor: Collabora, dosyalar yerinde kaldığı için bu adımın koruma sağlamadığını açıkça yazıyor. Destek süresi bitmiş Nextcloud 29 ve öncesi sürümleri kullanıyorsanız ya Nextcloud’u yükseltin ya da eklentiyi tamamen kaldırın.

Yama tek başına yeterli olmayabilir. Dahili CODE sunucusunun kapalı olduğu bir anı yakalayan saldırgan, güncellemeden önce sisteme yerleşmiş olabilir. Bu yüzden Nextcloud dizininde sonradan eklenmiş PHP dosyalarını, web shell kalıntılarını ve beklenmeyen zamanlanmış görevleri taramak; şüphe varsa Nextcloud ve veritabanı parolalarını, açık oturumları ve API anahtarlarını değiştirmek gerekiyor. Sunucunuz internetten erişilebilir durumdaysa bu kontrolü ertelemeyin.

Kaynak: CISA KEV · NVD