Nextcloud angrebet via Collabora-app: Opdater eller fjern den

Har du en Nextcloud-server med Collabora-appen Collabora Online – Built-in CODE Server, skal du tjekke den i dag. Et kritisk sikkerhedshul i appen, CVE-2026-110447, bliver brugt til at plante webshells på servere. Angriberen behøver hverken login eller hjælp fra en bruger. Den amerikanske cybersikkerhedsmyndighed CISA føjede hullet til sit katalog over udnyttede sårbarheder den 23. oktober og gav amerikanske myndigheder frist til 26. oktober.

Rettelsen har ligget klar siden september. Men en opdatering fjerner ikke en webshell, der allerede er lagt på serveren. Har din server kørt en sårbar version siden september, er en opdatering derfor kun første skridt.

Hvad er hullet, og hvem er ramt?

Ifølge Collaboras egen sikkerhedsadvarsel GHSA-g3vx-3m76-fghh sidder fejlen i filen proxy.php i Nextcloud-appen med det tekniske navn richdocumentscode. En særligt udformet forespørgsel kan få serveren til at køre styresystemkommandoer som den bruger, webserveren kører som. Fejlen har fået 9,2 af 10 på CVSS 4.0-skalaen og er klassificeret som kritisk.

Ramt er alle versioner af appen før 26.4.303. Der er en vigtig betingelse: Angrebet virker kun, mens den indbyggede CODE-server ikke kører. Det sker ifølge Collabora efter en genstart af containeren, efter en opgradering eller efter et nedbrud. Det lyder som en snæver betingelse, men på en almindelig hjemmeserver eller en lille virksomhedsserver sker den slags jævnligt.

Det er kun den indbyggede app, der er ramt. Collabora skriver, at selvstændige Collabora Online-servere ikke er berørt. Ifølge BleepingComputer gælder det samme ifølge Collabora for installationer via Docker og RPM/DEB-pakker samt Nextcloud All-in-One.

Angreb siden september

Rettelsen blev skrevet den 9. september, og version 26.4.303 udkom den 11. september, skriver BleepingComputer. Selve advarslen og CVE-nummeret kom først den 14. oktober. I mellemtiden var hullet allerede i brug. Flere administratorer har ifølge mediet set angreb tilbage til omkring den 10. september. Angriberne lagde PHP-webshells på serverne og brugte dem til at lede efter databaser med adgangskoder, filer fra adgangskodeprogrammer og kryptopunge.

Hvor mange servere der er ramt, vides ikke. Nextcloud har over for BleepingComputer sagt, at selskabet ikke har set udbredt udnyttelse.

CISA har markeret sagen med krav om forensisk gennemgang ("Forensics Triage"). Det er et signal om, at myndigheden ikke betragter sagen som løst, bare fordi rettelsen er installeret.

Tjekliste: Sådan sikrer du din Nextcloud

Kommandoerne nedenfor følger Nextclouds administratorvejledning. Kører din webserver som en anden bruger end www-data, skal du rette det til.

1. Find ud af, om du har appen, og hvilken version du kører. Som administrator kan du se det i appoversigten under Apps, hvor versionsnummeret står ved hver app. Fra kommandolinjen:

sudo -E -u www-data php occ app:list | grep richdocumentscode

Står der intet, har du ikke appen installeret. Bruger du en selvstændig Collabora-server via den almindelige Nextcloud Office-app (richdocuments), er du ifølge Collabora ikke ramt af dette hul.

2. Opdater til 26.4.303 eller nyere, eller fjern appen.

sudo -E -u www-data php occ app:update richdocumentscode

Bruger du den ikke, så fjern den helt:

sudo -E -u www-data php occ app:remove richdocumentscode

Det er ikke nok at deaktivere appen. Collabora skriver direkte, at en deaktivering ikke forhindrer angrebet. Kører du Nextcloud 29 eller ældre, som ikke længere får opdateringer, skal du ifølge Collabora opgradere Nextcloud eller fjerne appen.

3. Tjek appens filer. Kør Nextclouds integritetstjek af appen:

sudo -E -u www-data php occ integrity:check-app richdocumentscode

I en tråd i Nextclouds forum beskriver brugere, at tjekket på ramte servere meldte en ekstra fil (EXTRA_FILE) i appen. Brugere i tråden har også fundet ukendte PHP-filer i mappen apps/richdocumentscode/, blandt andet filer, hvis navne begynder med shx. Kig efter PHP-filer i mappen, som ikke burde være der.

4. Gennemgå webserverens adgangslog. Brugere i forumtråden peger på forespørgsler til proxy.php i appens mappe. Gå tilbage til mindst den 10. september.

5. Finder du noget, så behandl serveren som kompromitteret. En opdatering lukker hullet, men en webshell, der allerede ligger på serveren, bliver liggende og virker stadig. Angriberen har kunnet læse alt, webserverens bruger har adgang til. Skift derfor databaseadgangskoden, app-adgangskoder og andre hemmeligheder i Nextclouds konfiguration. Overvej at genetablere serveren fra en ren installation eller en backup fra før angrebet.

Hvorfor det er relevant i Danmark

Nextcloud er blevet et af de mest omtalte alternativer, når danske kommuner og offentlige institutioner leder efter europæiske eller open source-alternativer til Microsoft og Google. Ingeniøren har i en rundspørge fundet, at kommuner afprøver en lang række sådanne løsninger. Der er ingen oplysninger om, at danske myndigheder eller institutioner er ramt af dette angreb.

Mindst lige så relevant er de små foreninger, virksomheder og private, der selv driver Nextcloud på en NAS, en lejet server eller et hjemmenetværk. Den indbyggede Collabora-app er lavet til netop den situation: Den gør det muligt at redigere dokumenter i browseren uden at sætte en separat Collabora-server op. Mønsteret kender vi fra angrebene på Plex-servere: Software, man selv hoster, bliver kun opdateret, hvis nogen husker det. Og lige som i sagen om WordPress-bagdøre, der genskaber sig selv, er det oprydningen bagefter, der tager tid.

CISA's frist gælder kun amerikanske føderale myndigheder. Men når myndigheden giver tre dage, som den også gjorde i sagen om Check Point-VPN, er det et godt pejlemærke for, hvor hurtigt alle andre bør handle.

Konklusion

Kører du Collabora Online – Built-in CODE Server på din Nextcloud, så opdater til 26.4.303 eller nyere i dag, eller fjern appen. Deaktivering er ikke nok. Bagefter skal du kontrollere appens mappe og dine logfiler. En opdatering lukker døren, men den fjerner ikke en webshell, der allerede er kommet ind.

Det, der er værd at følge, er om Collabora eller Nextcloud udsender en officiel liste over tegn på angreb. Indtil videre kommer de konkrete spor fra administratorer i Nextclouds forum. Har du tidligere ignoreret meddelelser om appopdateringer i Nextcloud, er det nu et godt tidspunkt at sætte en fast rutine op for at installere dem.