Beheerders van Nextcloud krijgen een nieuwe securitywake-up call: aanvallers hebben via een fout in de Nextcloud CODE-app van Collabora webshells op serverinstallaties geplaatst. Wat dit extra urgent maakt, is dat de kwetsbaarheid niet verdwijnt door de app simpelweg uit te zetten—je moet de app daadwerkelijk updaten of verwijderen.
De situatie kwam naar buiten via meldingen op GitHub en communitydiscussies, met de eerste gedocumenteerde aanvallen rond 10 september. Collabora bracht daarna een fix uit en publiceerde later een formeel advies met CVE-2026-110447.
Wat is de Nextcloud CODE-app precies?
De getroffen component draait onder de app-naam die in de Nextcloud-lijst verschijnt als Collabora Online – Built-in CODE Server. Collabora distribueert de functionaliteit als een optionele Nextcloud-app met het package richdocumentscode.
Het idee achter deze opzet is dat Nextcloud Office documenten kan bewerken zonder dat er een aparte Collabora-server nodig is. De app downloadt daartoe een kopie van de Collabora Online Development Edition (CODE) en start die lokaal op dezelfde Nextcloud-server.
De kern van het probleem: unauthenticated command execution
De beveiligingsfout maakt onbevoegde verzoeken in bepaalde situaties mogelijk om een commando uit te voeren op de server. Daarbij gaat het om een speciaal scenario: de kwetsbaarheid werkt alleen wanneer het lokale CODE-componentje niet actief is.
Concreet treedt het risico op tijdens momenten zoals een restart, upgrade of nadat de dienst is gecrasht. In die korte tijd probeert het systeem de lokale CODE-server op te starten, en juist dan kan een aanvaller een verzoek sturen dat als opdracht wordt geïnterpreteerd.
Hoe ziet een aanval eruit? Van webrequest tot webshell
Een webshell is een klein bestand dat via webverzoeken commando’s kan uitvoeren met rechten van de webserver-account. Volgens de meldingen konden aanvallers hiermee commando’s draaien en later bijvoorbeeld systeeminformatie opvragen.
In de onderzochte gevallen startten aanvallers de payload door verzoeken te sturen naar een endpoint dat betrokken is bij het opstarten van de lokale CODE-server. Het aanvallende gedrag gebruikte een commando dat in de request path was verstopt.
Op minstens sommige systemen decodeerde de aanvaller een PHP-webshell naar de map van de app en probeerde vervolgens output te verzenden naar een externe webhook-service. Er werden in die logregels ook aanwijzingen gezien dat de aanvaller daarna gericht zocht naar bestanden die vaak met credentials of wallet-informatie te maken hebben.
Wie is getroffen en wie niet?
Collabora geeft aan dat de impact zich richt op installaties die gebruikmaken van de Built-in CODE Server-modus binnen de Nextcloud-app. Losse (standalone) Collabora Online servers zouden niet geraakt zijn.
Daarnaast is er een belangrijke nuance vanuit de Nextcloud-community: een installatie die alleen de Nextcloud Office-app gebruikt (met de package richdocuments) en niet de ingebouwde CODE-variant, zou niet in hetzelfde scenario vallen. Dat geldt ook als Collabora op een andere manier draait, bijvoorbeeld via Docker of via een hoster.
Wel geldt een extra aandachtspunt: Nextcloud-versies 29 en ouder zijn end-of-life. Daardoor kunnen gebruikers soms niet direct naar een versie van de CODE-fix die alleen met nieuwere Nextcloud-versies werkt.
Fix beschikbaar: update naar 26.4.303
Collabora heeft de kwetsbaarheid gesloten in versie 26.4.303, uitgebracht op 11 september. Later publiceerde het bedrijf een advies op 14 oktober met CVE-2026-110447.
In dat advies benadrukt Collabora dat uitschakelen van de app niet voldoende is. Je moet de app updaten naar versie >= 26.4.303 of verwijderen.
De gepatchte versies vereisen bovendien dat Nextcloud 30 of later gebruikt wordt. Staat je omgeving nog op Nextcloud 29 of ouder, dan adviseren de meldingen: upgrade Nextcloud of verwijder de app.
Waarom uitschakelen geen oplossing is
De fout zit niet enkel in het starten van de CODE-functie, maar in hoe de app het lokale opstartgedrag samenstelt. Collabora stelt dat het probleem blijft bestaan zolang de kwetsbare app aanwezig is, omdat het opstartmechanisme kan worden getriggerd door inkomende verzoeken.
In essentie komt de fix erop neer dat de manier waarop commando’s worden opgebouwd verandert. Daardoor worden waarden uit het request niet langer op een manier verwerkt waardoor ongewenste shell-expansies kunnen ontstaan.
Wat moet je nu doen? Praktische stappen
Collabora en de meldingen in community en GitHub laten dezelfde boodschap terugkomen: handel snel en gericht. Volg daarom deze volgorde.
- Update of verwijder de app: werk richdocumentscode bij (zichtbaar als “Collabora Online – Built-in CODE Server”) naar 26.4.303 of hoger, of verwijder de app.
- Controleer je Nextcloud-versie: op Nextcloud 29 of ouder kan je de vereiste versie niet installeren; upgrade of verwijder de app alsnog.
- Zoek naar achtergebleven webshells: als je al geüpdatet hebt, check dan op bestanden met patroon shx*.php in de app-map apps/richdocumentscode. Verwijder vondsten alleen als je zeker weet dat het om kwaadwillende restanten gaat.
- Reconstructie via logs: bekijk toegangslijsten terug tot minstens 10 september. Let op verzoeken naar proxy.php?status waarbij de path verdachte markers bevat, zoals varianten van %2e%2e, $( of ${IFS}.
- Beoordeel potentiële dataleaks: wanneer de webserver-account bestanden kon lezen, behandel dat als mogelijk blootgesteld, ook als er geen duidelijke exfiltratie zichtbaar is. Een gevonden webshell maakt dat risico reëel.
Extra aandacht: indicatoren en waargenomen pogingen
Volgens de meldingen zagen beheerders onder andere webshell-bestanden terug in apps/richdocumentscode, met namen die starten met shx of vergelijkbare varianten. Ook werden verzoekpatronen gelogd naar /apps/richdocumentscode/proxy.php?status met payloads die command-execution probeerden te activeren.
In ten minste één geval werd later (na patching) nog een poging waargenomen vanaf een tweede IP-adres. Dat leidde niet tot een nieuw webshell-bestand, maar het laat wel zien dat gecompromitteerde of kwetsbare omgevingen nog steeds doorlopend worden geprobeerd door aanvallers.
Wat betekent dit voor je securitybeleid en audits?
Deze case raakt direct aan de manier waarop je beheerbeleid werkt rondom “optionele” apps. Hoewel het gaat om een extra functie binnen Nextcloud, bleek de impact aanzienlijk doordat de fout in de app-chain tot server-side uitvoering leidde.
Voor compliance en incidentrespons is het daarom verstandig om dit onderdeel mee te nemen in je beheercontrole: inventariseer welke Nextcloud-apps actief zijn, wat hun patchstatus is en of je periodiek ook op webserver- en applicatieniveau scant op verdachte bestanden.
Als je kijkt naar bredere patronen in de wereld van web- en platformkwetsbaarheden, past dit ook in de lijn van eerdere advisering rond actieve misbruikpogingen bij bekende platformonderdelen. Zie bijvoorbeeld hoe in andere contexten aanvallen en patches worden geanalyseerd in de aanpak bij Ivanti Connect Secure.
Gerelateerd: waarom “command injection” blijft terugkomen
In de meldingen wordt ook benoemd dat Collabora eerder al een afzonderlijke fout in dezelfde context onderzocht had (een andere command-injection variant, met CVE-2025-66208). Die eerdere fix voorkomt echter niet automatisch deze nieuwe kwetsbaarheid met CVE-2026-110447.
Dat is een belangrijke les: als een beveiligingscomponent meerdere kwetsbaarheden heeft, kan elke fout een eigen beschermingslogica vereisen. Daarom moet je altijd naar de specifieke CVE kijken en alleen vertrouwen op patching die expliciet voor die fout geldt.
Conclusie: pak de Nextcloud CODE-app snel aan
De aanval op Nextcloud illustreert hoe snel een “ingebouwde” functie tot echte compromittatie kan leiden. Dankzij webshells konden aanvallers commando’s uitvoeren en vervolgens zoeken naar waardevolle gegevens of wallet-materialen.
De remedie is helder: update de Nextcloud CODE-app naar 26.4.303 of verwijder richdocumentscode. Uitschakelen is niet voldoende. Controleer daarna logs en verwijder verdachte shx*.php-bestanden als je ze aantreft, en behandel alles wat de webserver-account kon lezen als mogelijk blootgesteld.
Bron: https://thehackernews.com/2026/10/hackers-backdoor-nextcloud-servers.html
2 reacties