يستغل مهاجمون ثغرة تنفيذ أوامر حرجة في تطبيق Collabora Online - Built-in CODE Server، المعروف باسم richdocumentscode، داخل منصة Nextcloud. وتحمل الثغرة المعرف CVE-2026-110447، فيما تشير تقارير مشرفين إلى أن الاستغلال بدأ في منتصف سبتمبر، أي قبل نحو شهر من نشر التنبيه الأمني الرسمي ومعرف CVE.
ما الذي يحدث؟
تؤثر الثغرة في إصدارات richdocumentscode الأقدم من 26.4.303، وتوجد في آلية تشغيل خادم Collabora المضمّن داخل تطبيق Nextcloud. ويستطيع المهاجم إرسال طلب معد خصيصاً إلى نقطة النهاية proxy.php، ما يؤدي إلى حقن أوامر نظام التشغيل وتنفيذها.
لا يتطلب الاستغلال مصادقة أو تفاعلاً من المستخدم، لكن هناك شرطاً مهماً: يجب أن يكون خادم CODE المضمّن متوقفاً، كما قد يحدث بعد إعادة تشغيل الخادم أو ترقيته أو تعرضه لعطل. وأفاد مشرفون بأن النشاط الخبيث طال نقاط نهاية متعددة منذ 10 سبتمبر.
نطاق التأثر وإجراءات المعالجة
يقتصر التأثير على تطبيق CODE Server المضمّن والاختياري. ووفق Collabora، لا تتأثر خوادم Collabora Online المستقلة، أو عمليات التثبيت عبر Docker وRPM/DEB، أو توزيعات Nextcloud All-in-One.
زرع المهاجمون، بحسب إفادات المشرفين، أبواباً خلفية مكتوبة بلغة PHP، ثم استخدموها للبحث عن قواعد بيانات كلمات المرور، وملفات مرتبطة بمديري كلمات المرور، ومحافظ العملات المشفرة. وذكر بعض المستخدمين أن مشغلي برمجيات الفدية يستغلون الثغرة أيضاً، لكن BleepingComputer لم يتمكن من تأكيد ذلك بصورة مستقلة.
يوصى بالتحديث إلى الإصدار 26.4.303 أو أحدث، أو إزالة التطبيق إذا لم تكن الحاجة إليه قائمة. ويحذر المورد من أن تعطيل التطبيق وحده لا يمثل معالجة كافية. كما نشرت جهة مجتمعية تحذيراً في 3 أكتوبر، داعية إلى التحديث الفوري بسبب استمرار الاستغلال.
لماذا يهم هذا الخبر؟
تكمن الخطورة العملية في الفاصل بين توفر الإصلاح والإفصاح الرسمي. فقد أُرسل الإصلاح إلى المستودع في 9 سبتمبر، وأُطلق الإصدار المعالج في 11 سبتمبر، بينما نُشر التنبيه ومعرف CVE في 14 أكتوبر، بفارق تجاوز أربعة أسابيع. وخلال هذه الفترة كان من الأصعب على المشرفين تحديد المشكلة وربطها بنشاط هجومي قائم.
وقالت Nextcloud إن Collabora أبلغتها بالثغرة في منتصف سبتمبر، وإن التحديث أصبح متاحاً عبر متجر التطبيقات، مبررة تأخر الإفصاح بمنح المستخدمين وقتاً للتحديث وعدم رصد استغلال واسع النطاق. وأرجعت Collabora التأخير أساساً إلى تراكمات معالجة طلبات CVE على GitHub، في ظل ازدياد تقارير الثغرات المدعومة بأدوات الذكاء الاصطناعي.
وتشير دراسة نقلها المصدر عن شركة الأمن السيبراني Second Security إلى أن الفاصل الوسيط بين الإصلاحات العامة ونشر معرفات CVE بلغ 39 يوماً في أغسطس، مقارنة بـ5.1 أيام في يناير. كما وجدت الدراسة أن شيفرات استغلال عامة قد تظهر خلال ساعات من إصدار الإصلاح، وقبل نشر CVE بأيام، ما يزيد أهمية مراقبة تحديثات المنتجات نفسها وعدم انتظار رقم CVE وحده لاتخاذ إجراء دفاعي.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.