تتيح ثغرة حرجة في التطبيق الاختياري Collabora Online - Built-in CODE Server لمنصة Nextcloud لأي شخص تنفيذ أوامر نظام على الخادم دون مصادقة. وهي مستغلة منذ 10 سبتمبر على الأقل، بينما لم تنشر Collabora النشرة CVE-2026-110447 إلا في 14 أكتوبر.
ماذا حدث
في 14 أكتوبر 2026 نشرت Collabora النشرة CVE-2026-110447 (CVSS 4.0: 9.2): حقن أوامر دون مصادقة في الملف proxy.php لتطبيق Nextcloud Collabora Online - Built-in CODE Server (richdocumentscode). يشغّل هذا التطبيق حزمة مكتبية على خادم Nextcloud نفسه دون تثبيت Collabora منفصل. ويكفي طلب مُعدّ خصيصًا لتنفيذ أمر نظام بصلاحيات مستخدم خادم الويب.
تأخرت النشرة، لكن الهجمات بدأت قبلها بكثير. ففي 11 سبتمبر أبلغ مسؤول أنظمة يستضيف عدة خوادم Nextcloud، على صفحة التطبيق في GitHub، عن اختراقات ناجحة منذ اليوم السابق، مع سجلات مؤرخة في 10 سبتمبر. ثم وصف مسؤولون آخرون ظهور ملفات PHP باسم shx…php في تثبيتاتهم ومحاولات sudo فاشلة. وصدر الإصدار المُصحّح 26.4.303 في 11 سبتمبر.
من المتأثر
كل تثبيت Nextcloud يضم تطبيق Built-in CODE Server بإصدار أقدم من 26.4.303. ولا يمكن استغلال الثغرة إلا حين يكون الخادم المكتبي المدمج متوقفًا: بعد إعادة تشغيل الحاوية أو التحديث أو الانهيار. وتحذر Collabora من أن تعطيل التطبيق لا يكفي: يجب تحديثه أو حذفه. أما خوادم Collabora Online المستقلة فغير متأثرة.
ماذا تفعل الآن
- تحقق من وجود التطبيق:
sudo -u www-data php occ app:list | grep richdocumentscode. - حدّثه إلى 26.4.303 أو أحدث (
occ app:update richdocumentscode) أو احذفه (occ app:remove richdocumentscode). وعلى Nextcloud 29 أو أقدم، غير المدعوم، رقِّ Nextcloud أو أزل التطبيق. - ابحث عن webshells:
find /var/www/nextcloud -name 'shx*.php'ثمocc integrity:check-core. احذف أي ملف تعثر عليه. - راجع سجلات خادم الويب منذ 10 سبتمبر: طلبات إلى
proxy.phpالخاص بالتطبيق من عناوين مجهولة، وعمليات غير مألوفة تعمل باسمwww-data. - إن وُجد webshell، فاعتبر الخادم مخترقًا: حساب خادم الويب يستطيع قراءة
config.php. غيّر كلمة مرور قاعدة البيانات والأسرار وكلمات مرور المسؤولين، ويفضّل إعادة بناء الخادم.
رأينا
إضافة اختيارية تُثبَّت بنقرة واحدة تصبح جزءًا من سطح الهجوم على Nextcloud بأكمله. احتفظ بجرد للتطبيقات المستخدمة فعلًا، واحذف الباقي، ولا تنتظر رقم CVE لتثبيت تحديث تصفه الجماعة بالفعل بأنه إصلاح أمني.
المصادر
- Collabora Online — Unauthenticated OS command injection in the richdocumentscode proxy (GHSA-g3vx-3m76-fghh)
- GitHub — richdocumentscode issue #354: Security issue - Hack
- The Hacker News — Hackers Backdoor Nextcloud Servers Through Critical Flaw in Collabora’s Built-in CODE App
كيف نختار تحليلاتنا ونتحقق منها ونكتبها ←
هل خادمك مكشوف؟ أجرِ فحصًا مجانيًا — معلومات عامة فقط، دون اختراق:
هل تخشون أن تكون خوادمكم مكشوفة؟ يقوم فريقنا بتدقيق البنى التحتية Linux والسحابية وتحديثها ومراقبتها على مدار الساعة.
تحدّث إلى خبير خدماتنا لإدارة الخوادم ←
