Tin tặc khai thác lỗ hổng RCE trong Collabora CODE để cài Backdoor vào máy chủ Nextcloud

Chuyện gì vừa xảy ra

Các nhà nghiên cứu bảo mật vừa phát hiện làn sóng tấn công tự động nhắm vào các máy chủ lưu trữ đám mây riêng Nextcloud. Kẻ tấn công đang khai thác lỗ hổng thực thi lệnh tùy ý cực kỳ nguy hiểm, được gắn mã định danh CVE-2026-110447, nằm trong ứng dụng văn phòng trực tuyến tích hợp Collabora Online - Built-in CODE Server (richdocumentscode).

Lỗ hổng cho phép kẻ tấn công gửi các request độc hại tới endpoint xử lý tài liệu của Collabora để ép máy chủ chạy các đoạn mã shell tùy ý, từ đó cài đặt các backdoor âm thầm duy trì quyền kiểm soát trên máy chủ lưu trữ.

Ai cần chú ý và phạm vi ảnh hưởng

• Các tổ chức, doanh nghiệp tự host hệ thống Nextcloud để chia sẻ dữ liệu và làm việc cộng tác nội bộ.
• SysAdmin quản lý hạ tầng Private Cloud: Đặc biệt là những hệ thống cài đặt ứng dụng văn phòng Collabora Online trực tiếp từ App Store của Nextcloud mà không qua container riêng biệt.

Nextcloud thường lưu trữ các dữ liệu nhạy cảm nhất của doanh nghiệp: tài liệu hợp đồng, báo cáo tài chính, tệp thiết kế và thông tin nội bộ. Việc máy chủ Nextcloud bị cài backdoor đồng nghĩa với việc toàn bộ kho tài liệu của công ty bị phơi bày.

Tác động vận hành

• Mất an toàn dữ liệu lưu trữ: Tin tặc có thể tải xuống, chỉnh sửa hoặc mã hóa ransomware toàn bộ dữ liệu trên các ổ đĩa mount vào Nextcloud.
• Biến máy chủ thành bàn đạp tấn công: Từ quyền hạn thực thi trên server Nextcloud, kẻ tấn công có thể rà quét mạng nội bộ của doanh nghiệp hoặc đào tiền điện tử ngầm.

Điểm sysadmin cần theo dõi và hành động ngay

1. Kiểm tra ứng dụng Collabora CODE trên Nextcloud: Truy cập giao diện quản trị Admin -> Apps, kiểm tra xem ứng dụng Collabora Online - Built-in CODE Server có đang được kích hoạt hay không.
2. Cập nhật ứng dụng lên phiên bản mới nhất: Thực hiện nâng cấp ngay lập tức ứng dụng thông qua giao diện web hoặc dòng lệnh occ:

``bash sudo -u www-data php occ app:update richdocumentscode ``

1. Quét tìm dấu vết webshell: Kiểm tra các thư mục upload và thư mục tạm (/tmp, thư mục data của Nextcloud) để phát hiện các tệp tin lạ có đuôi .php hoặc .sh vừa được tạo trong 48 giờ qua.
2. Tạm tắt app nếu chưa thể vá: Nếu chưa kịp nâng cấp, hãy tắt app Collabora ngay bằng lệnh occ app:disable richdocumentscode để ngăn chặn nguy cơ bị khai thác.

Kết luận

Tự lưu trữ (self-hosting) mang lại quyền riêng tư và kiểm soát dữ liệu, nhưng đi kèm trách nhiệm cập nhật bảo mật thường xuyên. Quản trị viên Nextcloud cần xử lý ngay sự cố này.