Badan keamanan siber Amerika Serikat, CISA, memasukkan CVE-2026-110447 ke katalog Known Exploited Vulnerabilities (KEV) lewat peringatan tertanggal 23 Oktober 2026. Celah ini ada di aplikasi Collabora Online Built-in CODE Server (richdocumentscode), add-on Nextcloud yang menjalankan pengolah dokumen langsung di server yang sama. Collabora memberi skor CVSS v4 9.2 alias kritis, dan penyerang ternyata sudah memakainya sejak 10 September 2026, sebulan sebelum advisori resminya terbit.
Instansi sipil federal AS diwajibkan menambal paling lambat 26 Oktober 2026. Tenggat itu hanya mengikat lembaga pemerintah AS, tetapi admin di Indonesia yang memasang Nextcloud sendiri dengan aplikasi ini menghadapi risiko yang sama dan perlu segera memeriksa server mereka.
Di mana letak masalahnya
Menurut advisori Collabora (GHSA-g3vx-3m76-fghh), skrip proxy.php di aplikasi itu bertugas menyalakan server CODE bila belum berjalan. Saat menyusun perintah Bash untuk keperluan itu, skrip memasukkan data dari permintaan HTTP tanpa disaring. Akibatnya, penyerang tanpa login bisa menjalankan perintah sistem dengan hak akun web server. Syaratnya, server CODE sedang mati, misalnya saat restart, pembaruan, atau crash.
Semua versi richdocumentscode sampai 26.4.302 rentan. Versi 26.4.303 yang dirilis 11 September 2026 sudah memperbaikinya, meski catatan rilisnya tidak menyebut soal keamanan. Server Collabora Online yang berdiri sendiri (Docker, paket Linux, atau layanan hosting) tidak terdampak. Collabora juga menegaskan celah ini berbeda dari CVE-2025-66208, sehingga tambalan untuk celah lama itu tidak ikut menutupnya.
Tiga administrator melaporkan di GitHub bahwa server mereka dibobol. Dari log mereka, penyerang menanam web shell PHP bernama shx*.php di folder aplikasi, lalu di salah satu server mencari penyimpanan kata sandi dan dompet kripto. Belum ada laporan akses root, dan jumlah total server yang dibobol belum diketahui. Server Nextcloud yang berjalan di atas PHP juga perlu dicek terhadap celah PHP2Shell yang sedang diserang.
Yang perlu dilakukan admin Nextcloud
Collabora tidak memberikan solusi sementara. Menonaktifkan aplikasi tidak cukup, karena web server tetap bisa menjalankan proxy.php secara langsung. Pilihannya hanya dua: perbarui richdocumentscode ke 26.4.303 atau lebih baru, atau hapus aplikasinya sampai foldernya benar-benar hilang. Sejak versi 26.4.302, aplikasi ini butuh Nextcloud 30 ke atas. Pengguna Nextcloud 29 ke bawah yang sudah end-of-life perlu memperbarui Nextcloud dulu atau menghapus aplikasi.
Pembaruan saja juga belum menjamin server bersih. Cari dan hapus file shx*.php yang mungkin tertinggal, jalankan pemeriksaan integritas aplikasi lewat occ, dan tinjau log akses web sejak 10 September untuk permintaan janggal ke proxy.php. Daftar indikator serangan tersedia di laporan sumber. Bila menemukan tanda pembobolan, anggap server sudah disusupi: ganti kata sandi basis data, rahasia di config.php, serta token yang bisa dibaca akun web server, lalu pulihkan dari cadangan yang bersih.
Bagi instalasi yang belum tersentuh sejak awal September, peluang serangan masih terbuka setiap kali server CODE restart. Satu kali pembaruan atau penghapusan aplikasi sudah menutup pintu itu.
Sumber: Security Affairs, Advisori Collabora Online, IT-Connect. Gambar: IT-Connect
Tinggalkan Balasan