Aanvallers misbruiken lek in Collabora Built-in CODE Server in Nextcloud om opdrachten uit te voeren

Wat is er gebeurd

Aanvallers nemen Nextcloud-servers over via een lek in de Collabora Online Built-in CODE Server-app, ook bekend als richdocumentscode. De bug zit in het bestand proxy.php van de app. Als de meegeleverde CODE-server niet draait, bijvoorbeeld kort na een herstart, kan een aanvaller besturingssysteemopdrachten in een verzoek verwerken en de server die laten uitvoeren. Inloggen is niet nodig.

Het lek werd in september en oktober 2026 actief misbruikt. Het werd op 14 oktober 2026 gepubliceerd en CISA nam het op 23 oktober 2026 op in de Known Exploited Vulnerabilities-catalogus. Nextcloud heeft een bericht geplaatst waarin gebruikers van de ingebouwde server worden aangespoord zo snel mogelijk te updaten.

Wie is getroffen

Nextcloud-installaties die de Built-in CODE Server-app (richdocumentscode) van Collabora gebruiken in versies vóór 26.4.303 zijn getroffen. Zelfstandige Collabora Online-servers zijn niet kwetsbaar. Alleen configuraties die afhankelijk zijn van de ingebouwde CODE-server in Nextcloud bevatten het lek.

Hoe ernstig is het

Het lek heeft een CVSS 4.0-score van 9.2 en is als kritiek beoordeeld. Een aanvaller op het netwerk heeft geen account en geen gebruikersinteractie nodig, en een geslaagde aanval geeft volledige controle over vertrouwelijkheid, integriteit en beschikbaarheid van de getroffen server. Er geldt één voorwaarde: de CODE-server mag op dat moment niet draaien, wat na een herstart kan voorkomen.

Aanvallers maken er al gebruik van en CISA vermeldt het in de Known Exploited Vulnerabilities-catalogus. Amerikaanse federale instanties kregen tot 26 oktober 2026 de tijd om maatregelen te nemen.

Wat moet u doen

1. 1Update de Collabora Online Built-in CODE Server-app in Nextcloud naar versie 26.4.303 of nieuwer.
2. 2Volg de instructies van de leverancier en van Nextcloud voor mitigerende maatregelen, en stop met het gebruik van de app als u die niet kunt toepassen.
3. 3Controleer servers waarop een kwetsbare versie draaide op tekenen van compromittering, aangezien het lek werd misbruikt voordat de oplossing breed bekend was.

Kerngegevens