공격자들이 Nextcloud 플랫폼 내 richdocumentscode로 알려진 Collabora Online - Built-in CODE Server 애플리케이션의 치명적인 명령 실행 취약점을 악용하고 있습니다. 이 취약점에는 CVE-2026-110447 식별자가 부여되었으며, 관리자들의 보고에 따르면 악용은 공식 보안 권고와 CVE 식별자가 공개되기 약 한 달 전인 9월 중순에 시작됐습니다.
무슨 일이 발생하고 있는가?
이 취약점은 26.4.303보다 이전 버전의 richdocumentscode에 영향을 미치며, Nextcloud 애플리케이션에 내장된 Collabora 서버의 실행 메커니즘에 존재합니다. 공격자는 proxy.php 엔드포인트에 특수하게 조작된 요청을 보내 운영체제 명령을 주입하고 실행할 수 있습니다.
이 공격에는 인증이나 사용자 상호작용이 필요하지 않지만 중요한 조건이 있습니다. 내장 CODE 서버가 중지된 상태여야 하며, 이는 서버 재시작이나 업그레이드 또는 장애 이후에 발생할 수 있습니다. 관리자들은 악성 활동이 9월 10일 이후 여러 엔드포인트에 영향을 미쳤다고 밝혔습니다.
영향 범위와 대응 조치
영향은 선택 사항인 내장 CODE Server 애플리케이션으로 제한됩니다. Collabora에 따르면 독립형 Collabora Online 서버, Docker 및 RPM/DEB를 통한 설치, Nextcloud All-in-One 배포판은 영향을 받지 않습니다.
관리자들의 진술에 따르면 공격자들은 PHP로 작성된 백도어를 심은 뒤 이를 사용해 비밀번호 데이터베이스, 비밀번호 관리자와 관련된 파일, 암호화폐 지갑을 검색했습니다. 일부 사용자들은 랜섬웨어 운영자들도 이 취약점을 악용하고 있다고 밝혔지만, BleepingComputer는 이를 독립적으로 확인하지 못했습니다.
26.4.303 이상으로 업데이트하거나 애플리케이션이 필요하지 않다면 제거하는 것이 권장됩니다. 공급업체는 애플리케이션을 단순히 비활성화하는 것만으로는 충분한 대응이 아니라고 경고합니다. 또한 한 커뮤니티 측은 10월 3일 경고를 발표하고, 악용이 계속되고 있으므로 즉시 업데이트할 것을 촉구했습니다.
이 소식이 중요한 이유
실질적인 위험은 패치 제공과 공식 공개 사이의 간극에 있습니다. 패치는 9월 9일 저장소에 반영됐고 수정 버전은 9월 11일 출시됐지만, 보안 권고와 CVE 식별자는 10월 14일에 공개되어 4주가 넘는 차이가 발생했습니다. 이 기간 동안 관리자들이 문제를 파악하고 이를 진행 중인 공격 활동과 연결하기는 더 어려웠습니다.
Nextcloud는 Collabora가 9월 중순 취약점을 통보했으며 업데이트가 애플리케이션 스토어를 통해 제공됐다고 밝혔습니다. 또한 광범위한 악용이 관찰되지 않았고 사용자들에게 업데이트할 시간을 주기 위해 공개가 늦어졌다고 설명했습니다. Collabora는 지연의 주된 원인이 GitHub의 CVE 요청 처리 누적 때문이라고 밝혔으며, 인공지능 도구의 지원을 받은 취약점 보고가 증가하고 있다고 덧붙였습니다.
소식통이 사이버 보안 기업 Second Security의 연구를 인용해 전한 바에 따르면, 공개 패치와 CVE 식별자 공개 사이의 중간 간격은 1월의 5.1일에서 8월에는 39일로 늘어났습니다. 또한 이 연구는 공개적인 익스플로잇 코드가 패치 출시 후 수 시간 만에, CVE 공개 며칠 전에 나타날 수 있다고 밝혔습니다. 이는 제품 자체의 업데이트를 모니터링하고 방어 조치를 취하기 위해 CVE 번호만 기다리지 않는 것이 중요함을 보여줍니다.