Collabora CODE-lek misbruikt voor backdoors op Nextcloud
Aanvallers misbruiken al ongeveer een maand een kritieke kwetsbaarheid in een Collabora-app voor Nextcloud waarmee ze commando's kunnen uitvoeren. Het lek kreeg pas deze week een CVE-nummer.
De bug staat geregistreerd als CVE-2026-110447. Hij zit in de app Collabora Online - Built-in CODE Server, intern bekend als richdocumentscode. Nextcloud-beheerders gebruiken deze optionele app om een meegeleverde Collabora-documentserver rechtstreeks binnen hun Nextcloud-omgeving te draaien, zodat ze geen aparte server hoeven op te zetten.
Volgens meldingen van verschillende beheerders begon het misbruik half september. Dat was zo'n vier weken voordat het beveiligingsbulletin, de GitHub-advisory en de CVE-vermelding werden gepubliceerd.
Hoe de aanval werkt
De kwetsbaarheid zit in alle versies van richdocumentscode van voor 26.4.303. Het probleem zit in de code die de Nextcloud-app gebruikt om de meegeleverde Collabora-server te starten.
Aanvallers sturen een gemanipuleerd verzoek naar het proxy.php-endpoint van de app, wat leidt tot OS command injection. Daarvoor is geen authenticatie of handeling van een gebruiker nodig. Er is wel een voorwaarde: de ingebouwde CODE-server moet gestopt zijn op het moment dat het verzoek binnenkomt. Dat kan gebeuren na een herstart, een upgrade of een crash.
Volgens Collabora beperkt het probleem zich tot de optionele app met de ingebouwde CODE-server. Losse Collabora Online-servers zijn niet kwetsbaar. Hetzelfde geldt voor Docker-installaties, installaties via RPM/DEB-pakketten en Nextcloud All-in-One-omgevingen.
Webshells, wachtwoordjacht en diefstal van wallets
Beheerders die kwaadaardige activiteit op hun systemen ontdekten, meldden aanvallen op meerdere endpoints. De vroegste dateren van 10 september.
De indringers zouden PHP-webshells op de gecompromitteerde servers hebben geplaatst. Dat lijkt op de werkwijze bij recente pogingen om backdoors op WordPress-sites te plaatsen. Vervolgens gebruikten de aanvallers de webshells om te zoeken naar wachtwoorddatabases, sporen van wachtwoordmanagers en cryptowallets.
Sommige gebruikers beweerden ook dat ransomwaregroepen het lek misbruiken. BleepingComputer, dat als eerste over de aanvallen berichtte, kon dat niet onafhankelijk bevestigen.
Patchen of de app verwijderen
Beheerders moeten richdocumentscode bijwerken naar versie 26.4.303 of hoger. Is de ingebouwde server niet nodig, dan kunnen ze de app ook helemaal verwijderen. Collabora waarschuwt dat alleen uitschakelen niet genoeg is om beschermd te blijven.
De tijdlijn laat zien hoe lang beheerders zonder duidelijk houvast zaten:
- 9 september: de fix werd gecommit
- 10 september: vroegst gemelde aanvallen
- 11 september: versie 26.4.303 verscheen
- 3 oktober: een waarschuwing uit de community riep beheerders op om meteen bij te werken vanwege lopend misbruik
- 14 oktober: de advisory en het CVE-nummer werden gepubliceerd
De beheerders van de software gaven half september wel waarschuwingen af. Maar zonder CVE-nummer was het voor beheerders lastiger om het probleem te herkennen, het naast hun overzicht van systemen te leggen en de juiste maatregelen te nemen.
Leveranciers wijzen naar CVE-achterstanden
Nextcloud liet BleepingComputer weten dat Collabora de kwetsbaarheid half september had gemeld en dat de update via de app store werd uitgerold. Volgens het bedrijf werd de bekendmaking bewust uitgesteld om gebruikers tijd te geven om bij te werken, en had het geen grootschalig misbruik gezien.
In een blogpost over de aanvallen noemde Collabora een andere hoofdreden voor de vertraging. Het bedrijf wees op een achterstand in de CVE-afhandeling bij GitHub, die volgens Collabora onder druk staat door een groeiend aantal beveiligingsmeldingen die met AI tot stand komen.
Dat beeld sluit aan bij recent onderzoek van Second Security. Het bedrijf bekeek praktijkgevallen met kwetsbaarheden in opensourcesoftware en mat de tijd tussen een openbare fix en de publicatie van een CVE. In januari lag de mediaan op 5,1 dagen, in augustus was die opgelopen tot 39 dagen.
De onderzoekers denken dat de groeiende hoeveelheid kwetsbaarheden die met hulp van AI worden ontdekt, de CVE-afhandeling overbelast en zo voor de vertragingen zorgt. Ze stelden ook vast dat er in veel gevallen binnen enkele uren na een fix openbare exploitcode opdook, een aantal dagen voordat het bijbehorende CVE-nummer verscheen. Volgens Second Security maken AI-tools het voor aanvallers eenvoudig om gepubliceerde fixes om te zetten in werkende exploits.
Het grotere plaatje
De zaak-Collabora is een goed voorbeeld van een probleem dat waarschijnlijk groter wordt. Veel organisaties gebruiken CVE-nummers om te bepalen wat ze wanneer patchen. Kwetsbaarheidsscanners, ticketprocessen en compliancecontroles komen vaak pas in actie zodra er een CVE bestaat. Als fixes weken eerder verschijnen dan het nummer, zijn de teams die op die processen leunen als laatste op de hoogte, terwijl aanvallers de openbare commit meteen kunnen bestuderen.
Dat wijst erop dat beheerders van zelfgehoste software zoals Nextcloud de CVE-feed niet als hun enige vroegtijdige waarschuwingssysteem moeten zien. Changelogs van leveranciers, updates in de app store en communityfora verdienen ook aandacht, zeker bij samenwerkingssoftware die aan het internet hangt en gevoelige bestanden bevat.
Dezelfde AI-tools die het opsporen van bugs versnellen, lijken ook de druk op het meldingsproces zelf op te voeren. Het is de moeite waard om te volgen of GitHub en andere CVE-uitgevende instanties hun processen aanpassen om de toestroom aan te kunnen. Ook moet nog blijken of de onbevestigde berichten over ransomwareactiviteit rond dit lek kloppen.