Saldırganlar, Nextcloud platformundaki richdocumentscode adıyla bilinen Collabora Online - Built-in CODE Server uygulamasında bulunan kritik bir komut yürütme açığını istismar ediyor. CVE-2026-110447 olarak tanımlanan açığın istismarının, resmi güvenlik uyarısı ve CVE kimliği yayımlanmadan yaklaşık bir ay önce, eylül ayının ortalarında başladığı yönünde yönetici raporları bulunuyor.
Ne oluyor?
Açık, 26.4.303 sürümünden eski richdocumentscode sürümlerini etkiliyor ve Nextcloud uygulamasına gömülü Collabora sunucusunun çalıştırılma mekanizmasında bulunuyor. Saldırgan, proxy.php uç noktasına özel olarak hazırlanmış bir istek göndererek işletim sistemi komutlarının enjekte edilmesini ve yürütülmesini sağlayabiliyor.
İstismar için kimlik doğrulama veya kullanıcı etkileşimi gerekmiyor, ancak önemli bir koşul bulunuyor: Gömülü CODE sunucusunun kapalı olması gerekiyor. Bu durum, sunucunun yeniden başlatılmasının veya yükseltilmesinin ardından ya da bir arıza nedeniyle meydana gelebiliyor. Yöneticiler, kötü amaçlı etkinliğin 10 Eylül'den bu yana birden fazla uç noktayı etkilediğini bildirdi.
Etkilenme kapsamı ve giderme adımları
Etkilenme, isteğe bağlı gömülü CODE Server uygulamasıyla sınırlı. Collabora'ya göre bağımsız Collabora Online sunucuları, Docker ve RPM/DEB üzerinden yapılan kurulumlar ya da Nextcloud All-in-One dağıtımları etkilenmiyor.
Yöneticilerin ifadelerine göre saldırganlar PHP ile yazılmış arka kapılar yerleştirdi ve bunları parola veritabanlarını, parola yöneticileriyle ilişkili dosyaları ve kripto para cüzdanlarını aramak için kullandı. Bazı kullanıcılar fidye yazılımı operatörlerinin de açığı istismar ettiğini belirtti, ancak BleepingComputer bunu bağımsız olarak doğrulayamadı.
26.4.303 veya daha yeni bir sürüme güncelleme yapılması ya da ihtiyaç duyulmuyorsa uygulamanın kaldırılması öneriliyor. Tedarikçi, uygulamayı yalnızca devre dışı bırakmanın yeterli bir giderme yöntemi olmadığı konusunda uyarıyor. Bir topluluk kuruluşu da 3 Ekim'de, istismarın devam etmesi nedeniyle acil güncelleme çağrısı yapan bir uyarı yayımladı.
Bu haber neden önemli?
Pratik risk, düzeltmenin kullanıma sunulması ile resmi açıklama arasındaki zaman aralığından kaynaklanıyor. Düzeltme 9 Eylül'de depoya gönderildi ve düzeltilmiş sürüm 11 Eylül'de yayımlandı; ancak uyarı ve CVE kimliği 14 Ekim'de yayımlandı. Arada dört haftadan uzun bir süre vardı. Bu dönemde yöneticilerin sorunu belirlemesi ve devam eden saldırı etkinliğiyle ilişkilendirmesi daha zordu.
Nextcloud, Collabora'nın açığı kendilerine eylül ayının ortasında bildirdiğini ve güncellemenin uygulama mağazası üzerinden kullanıma sunulduğunu belirtti. Şirket, açıklamanın gecikmesini kullanıcılara güncelleme yapmaları için zaman tanıma ve geniş çaplı istismar gözlemlenmemesi gerekçeleriyle açıkladı. Collabora ise gecikmenin temel nedenini, yapay zekâ araçlarıyla desteklenen güvenlik açığı raporlarının artması karşısında GitHub'daki CVE taleplerinin işleme alınmasında oluşan birikime bağladı.
Kaynağın Second Security adlı siber güvenlik şirketinin bir araştırmasından aktardığı bilgilere göre, kamuya açık düzeltmeler ile CVE kimliklerinin yayımlanması arasındaki medyan süre ağustos ayında 39 güne ulaştı; ocak ayında bu süre 5,1 gündü. Araştırma ayrıca, kamuya açık istismar kodlarının düzeltmenin yayımlanmasından saatler sonra ve CVE'nin yayımlanmasından günler önce ortaya çıkabildiğini ortaya koydu. Bu durum, savunma amaçlı önlem almak için yalnızca CVE numarasını beklememek ve ürünlerin kendi güncellemelerini izlemek gerektiğini daha da önemli hale getiriyor.