Aanvallers misbruiken al sinds half september een kritiek lek in de ingebouwde Collabora-documentserver van Nextcloud om webshells te plaatsen. Beheerders die Nextcloud zelf hosten, voor klanten of niet, moeten controleren of ze zijn getroffen.
Aanvallers plaatsen webshells op Nextcloud-servers via lek in ingebouwde Collabora-documentserver
| Kwetsbaarheid | Commando-injectie via een onbeveiligd verzoek aan proxy.php, waarmee een ongeauthenticeerde aanvaller shell-commando’s op de server kan uitvoeren – Nextcloud-app richdocumentscode (Collabora Online – Built-in CODE Server) vóór versie 26.4.303. Een losse Collabora Online-server is niet getroffen |
| CVE-nummer | CVE-2026-110447 |
| Actief misbruikt | Ja, de eerste aanvallen staan in logbestanden van 10 en 11 september 2026 |
| Patch beschikbaar | Ja, richdocumentscode 26.4.303 (uitgebracht op 11 september). Die versie vereist Nextcloud 30 of nieuwer; voor Nextcloud 29 en ouder is geen update te installeren |
Hoe kan de kwetsbaarheid misbruikt worden?
Volgens The Hacker News sturen aanvallers een verzoek naar proxy.php?status met een shell-commando verstopt in het URL-pad. Het script plaatst die tekst in een bash-opdracht tussen dubbele aanhalingstekens, waardoor de shell de ingevoegde expressies uitvoert. Het misbruik werkt alleen op momenten dat de lokale documentserver van de app niet draait, bijvoorbeeld tijdens een herstart, een upgrade of na een crash. Daarna plaatsen de aanvallers kleine PHP-webshells met bestandsnamen als shx35d0.php in de map apps/richdocumentscode. De melding kwam van drie Nextcloud-beheerders op GitHub; als kwetsbaarheidsmelder wordt de gebruiker wwwshellcodeit genoemd.
Wat kan het gevolg zijn?
Met een webshell heeft een aanvaller duurzame toegang tot de webserver en alles wat het account van de webserver kan lezen: bestanden van gebruikers, configuratie met databasewachtwoorden en sessiegegevens. Nextcloud wordt veel gebruikt als zelfgehoste bestandsdeling en samenwerkomgeving, ook door MSP’s die dat voor klanten draaien. Het lek bestaat al een maand en de patch kwam bijna meteen, dus wie sindsdien niet heeft bijgewerkt of niet heeft gecontroleerd, kan al zijn getroffen. Er is ook een praktisch probleem: versie 26.4.402 start volgens het bericht op sommige systemen niet of opent geen documenten, waardoor beheerders zijn teruggegaan naar 26.4.303.
Wat moeten IT-beheerders nu doen?
Werk de app richdocumentscode bij naar 26.4.303 of nieuwer, of verwijder de app. Uitschakelen is niet genoeg, want het lek blijft dan bestaan. Draait een klant Nextcloud 29 of ouder, upgrade dan Nextcloud zelf of verwijder de app. Zoek in apps/richdocumentscode naar bestanden met de naam shx*.php en verwijder ze, en doorzoek de toegangslogs vanaf 10 september op verzoeken naar proxy.php?status met %2e%2e, $(, ${IFS} of base64 -d dat naar sh wordt doorgegeven. Let ook op sudo-pogingen van het account van de webserver. Beschouw alles wat dat account kon lezen, waaronder wachtwoorden in de configuratie, als mogelijk gelekt en vervang het als er sporen zijn gevonden.
