Collaboraの重大な脆弱性、Nextcloudサーバーが侵害される

Nextcloudの管理者は、パッチを適用するだけでは済みません。攻撃者がCollaboraの組み込み型CODE Serverアプリの重大な脆弱性を悪用し、脆弱なサーバー上でコマンドを実行したり、PHP製のWebシェルを設置したりしています。

この脆弱性は「CVE-2026-110447」として追跡されているコマンドインジェクションの欠陥で、richdocumentscodeアプリのバージョン26.4.303より前が影響を受けます。ローカルのドキュメントサーバーが稼働していない間、たとえば再起動、アップグレード、クラッシュのさなかに悪用される可能性があります。攻撃は9月10日から確認されているため、すでにアップデートを済ませた組織でも侵害の有無を確認することが重要です。

Collaboraの脆弱性、特定のNextcloud構成が危険に

影響を受けるのは「Collabora Online – Built-in CODE Server」です。これは、別途Collaboraサーバーを用意しなくてもドキュメントを編集できるようにするNextcloudの任意アプリです。Nextcloudは、個人や小規模チーム向けの導入しやすい選択肢と説明しています。ただし、単独で構築する場合に比べると、性能や拡張性に関する機能の一部は備えていません。

Collaboraのセキュリティアドバイザリによると、ローカルのCODEサーバーがオフラインの場合、認証されていない攻撃者がWebサーバーアカウントの権限でOSコマンドを実行できる恐れがあります。ベンダーはバージョン26.4.303でこの問題を修正しました。あわせて、アプリを無効にするだけでは不十分だと警告しています。管理者はアプリを更新するか、削除する必要があります。単独で稼働するCollabora Onlineサーバーは影響を受けません。

攻撃者はWebシェルを設置し、機密ファイルを探索

The Hacker Newsの報道によると、複数の管理者が悪用の痕跡を確認しました。Collaboraのアプリディレクトリ内に置かれたPHP製Webシェルもその一つです。攻撃者はこのアクセスを使い、パスワードマネージャーや暗号資産ウォレットに関連するファイルなど、機密性の高いデータを探索していました。同メディアが確認した報告では、攻撃者がroot権限を取得した形跡は見られませんでした。

同報道は、管理者が調査すべき痕跡として、shx*.phpというファイルを挙げています。このほか、不審なproxy.php?statusへのリクエスト、コマンドインジェクションの目印となる文字列、Webサーバーアカウントによるsudoの失敗も調査対象です。

GitHubに最初に投稿されたインシデント報告では、ある管理者が、システム情報をWebhookのコールバック先へ送信しようとするペイロードを記録しました。確認されたリクエストには、ファイルをアーカイブしたりアップロードしたりするコマンドは含まれていませんでした。そのため、認証情報ストアなどの機密ファイルが盗まれたかどうかは確定していません。それでも、侵害されたWebサーバーアカウントがアクセスできるファイルは、漏えいした可能性があるものとして扱うべきです。

セキュリティチームはパッチ適用だけでなく侵害の有無も確認を

修正版をインストールすれば、脆弱なコマンド実行経路は塞がれます。しかし、すでに設置されているかもしれないWebシェルは削除されません。組み込みのCODEアプリを使用していて、悪用が行われた期間中に再起動、アップグレード、クラッシュのいずれかが発生したサーバーは、優先して調査する必要があります。

セキュリティチームは次の対応を取るべきです。

• 導入済みのアプリとバージョンを確認する。richdocumentscodeを26.4.303以降にアップグレードするか、削除します。サポートが終了したNextcloud 29以前を運用している組織は、Collaboraの推奨に従い、Nextcloudをアップグレードするか、アプリを削除してください。
• 過去の悪用を調査する。apps/richdocumentscode/ディレクトリに、想定外のPHPファイルがないか確認します。shx*.phpに一致する名前のファイルや、報告されたshrf4645.phpが対象です。保存しているアクセスログは、少なくとも9月10日までさかのぼって調べます。リクエストパスに$(や${IFS}といったコマンドインジェクションの目印を含む、proxy.php?statusへのリクエストが調査対象です。Webサーバーアカウントによるsudoの失敗も調べてください。
• 露出した認証情報とデータを評価する。Webサーバーアカウントが読み取れた情報を特定します。侵害の兆候が見つかった場合は、関連する認証情報を更新してください。

Collaboraの リリース記録では、バージョン26.4.303の日付は9月11日です。一方、セキュリティアドバイザリの公開は10月14日でした。この間隔は、正式な脆弱性識別子を待つのではなく、CVEフィードとあわせてベンダーのアドバイザリやアプリケーションの更新も監視すべき理由の一つです。

侵害の証拠が見つかった場合は、関連するログと不審なファイルを保全し、影響を受けたサーバーを隔離します。そのうえで、サービスを復旧する前に攻撃者のアクセス経路を調査してください。 漏えいした可能性のある認証情報を評価し、信頼できるシステムから更新します。サーバーを再構築する必要があるかどうかも判断してください。パッチは脆弱性を塞ぎますが、攻撃者がすでに確保したアクセスまでは排除しません。

関連記事： Ahsayのパッチ失敗により、悪用された2件のバックアップ関連の脆弱性が残存した問題も取り上げました。こちらも、攻撃者がサーバーの脆弱性を突いてWebシェルを設置した事例です。