گزارش‌های جدید حاکی از آن است که عاملان تهدید (Threat Actors) از یک نقص امنیتی بحرانی در اپلیکیشن Collabora Online Built-in CODE Server برای پلتفرم Nextcloud سوءاستفاده می‌کنند. کاربران متعددی گزارش کرده‌اند که پس از مورد هدف قرار گرفتن، فایل‌های Web Shell روی سرورهای آن‌ها مشاهده شده است.
جزئیات فنی و شناسه‌های آسیب‌پذیری
این آسیب‌پذیری با شناسه CVE-2026-110447 ردیابی می‌شود و به مهاجمان اجازه می‌دهد بدون نیاز به ورود به سیستم (Authentication)، دستورات سیستم‌عامل را از راه دور اجرا کنند (RCE). این نقص امنیتی اپلیکیشن richdocumentscode در نسخه‌های پیش از 26.4.303 را تحت تأثیر قرار داده و امتیاز 9.2 در سیستم CVSS v4 را دریافت کرده است.
بر اساس داده‌های GitHub Advisory Database، این نقص در بازه زمانی سپتامبر و اکتبر ۲۰۲۶ مورد سوءاستفاده قرار گرفته است. در اکتبر، هشدارهایی در انجمن‌های Nextcloud منتشر شد که در آن کاربران از یافتن اسکریپت‌های مخرب (Web Shells) روی سرورهای خود خبر دادند. این اسکریپت‌ها به مهاجمان اجازه می‌دهند دستورات دلخواه را اجرا کرده و دسترسی خود را پس از نفوذ اولیه حفظ کنند.
مکانیسم حمله و شرایط وقوع
این مشکل در فایل proxy.php رخ می‌دهد؛ بخشی از اپلیکیشن که سرور اسناد داخلی Collabora را در محیط Nextcloud اجرا می‌کند. طبق گزارش امنیتی Collabora، یک درخواست دست‌کاری شده (Crafted Request) می‌تواند باعث اجرای دستورات سیستم‌عامل با دسترسی‌های کاربر وب‌سرور شود. این آسیب‌پذیری در دسته CWE-78 یا تزریق دستورات سیستم‌عامل (OS Command Injection) قرار می‌گیرد.
نکته قابل توجه این است که برای موفقیت این حمله، مهاجم نیازی به حساب کاربری یا تعامل کاربر ندارد، اما یک شرط خاص وجود دارد: سرور داخلی CODE نباید در لحظه ارسال درخواست مخرب در حال اجرا باشد. این وضعیت معمولاً در زمان‌های زیر رخ می‌دهد:
- بازراه‌اندازی کانتینر (Container Restart)
- بروزرسانی نرم‌افزاری (Upgrade)
- پس از کرش کردن سرویس (Crash)
این شرایط، یک پنجره حمله (Attack Window) در طول عملیات‌های روتین نگهداری سیستم ایجاد می‌کند.
تأثیرات و تمایز با سایر آسیب‌پذیری‌ها
اگرچه دستورات با دسترسی کاربر وب‌سرور اجرا می‌شوند و لزوماً دسترسی Root فراهم نمی‌کنند، اما تأثیر آن بر حریم خصوصی داده‌ها، یکپارچگی فایل‌ها (File Integrity) و در دسترس بودن سرویس، بسیار بالا ارزیابی شده است.
تأکید می‌شود که این نقص تنها اپلیکیشن Collabora Online Built-in CODE Server را تحت تأثیر قرار می‌دهد و سرورهای مستقل (Standalone) Collabora Online در برابر این حمله ایمن هستند. همچنین این مسیر حمله با CVE-2025-66208 متفاوت است و نصب اصلاحیه نسخه قبلی، مانع از این اکسپلویت نمی‌شود.
راهکارهای مقابله و توصیه به مدیران SOC
برای رفع این مشکل، مدیران سیستم باید اقدامات زیر را به سرعت انجام دهند:
- بروزرسانی: ارتقای اپلیکیشن richdocumentscode به نسخه 26.4.303 یا بالاتر.
- حذف: در صورت عدم نیاز، حذف کامل این اپلیکیشن (صرفاً غیرفعال کردن آن مانع از اکسپلویت نمی‌شود).
- به‌روزرسانی هسته: کاربرانی که از نسخه‌های قدیمی Nextcloud (نسخه ۲۹ و قدیمی‌تر) استفاده می‌کنند، باید ابتدا خود پلتفرم Nextcloud را ارتقا دهند.
هشدار مهم: برای سیستم‌هایی که احتمالاً در معرض حمله بوده‌اند، صرفاً آپدیت کردن کافی نیست. توصیه می‌شود سرورها برای یافتن فایل‌های PHP غیرمنتظره و نشانه‌های نفوذ بررسی شوند، زیرا آپدیت کردن تنها نقطه ورود را می‌بندد و Web Shellهای ایجاد شده را حذف نمی‌کند.
