☁️ Nextcloud + встроенный Collabora CODE: на серверах находят веб-шеллы. Отключить приложение недостаточно

Коллеги, для всех, у кого Nextcloud с офисными документами «из коробки».

📌 ФАКТЫ
CVE-2026-110447 — критическая уязвимость в приложении Collabora Online – Built-in CODE Server (richdocumentscode). Аутентификация не нужна

Уязвимы версии до 26.4.303, исправление вышло 11 сентября, CVE и advisory опубликованы 14 октября

Атаки — примерно с 10 сентября: на серверах находили PHP веб-шеллы, атакующие искали базы паролей и криптокошельки

Не затронуты: отдельные серверы Collabora Online, установки через Docker и RPM/DEB, Nextcloud All-in-One

По данным вендора, отключить приложение недостаточно — его нужно обновить или удалить

🛠 ПРОВЕРКА И ИСПРАВЛЕНИЕ
Bash

cd /var/www/nextcloud
sudo -u www-data php occ app:list | grep -A1 richdocumentscode
sudo -u www-data php occ app:update richdocumentscode
# не нужен — удалить
sudo -u www-data php occ app:remove richdocumentscode

# PHP-файлы, изменённые за последние 45 дней (искать лишние)
find /var/www/nextcloud -name '*.php' -mtime -45 -not -path '*/apps/*/l10n/*' | head -50

💡 В ЧЁМ СУТЬ

Встроенный CODE удобен для маленьких инсталляций, но это отдельный сервер внутри PHP-приложения. Для продакшена надёжнее вынести Collabora в отдельный контейнер. Если нашлись лишние PHP-файлы — сервер пересобрать и сменить пароли пользователей.

#nextcloud #collabora #selfhosted #security #sysadmin #admin_future