nextcloud'daki collabora açığı yine işi bozdu, saldırganlar arka kapı kuruyor

Posted on 16 Eki 2026

arkadaşlar, nextcloud kullananlar dikkat edin. collabora online’da ciddi bir açık bulunmuş ve saldırganlar şu an bunu aktif olarak sömürüyor. CVE-2026-110447 denen bu zafiyet, richdocumentscode uygulamasında uzaktan kod çalıştırma (RCE) yapabiliyor. yani kısacası saldırganlar nextcloud sunucularınıza arka kapı kurabiliyor.

nedir bu collabora işi?

collabora online, nextcloud’da kullanılan bir office editörü. word, excel, powerpoint dosyalarını tarayıcıdan düzenlemek için kullanılıyor. gayet pratik bir şey ama işte bu CVE-2026-110447 açığı sayesinde saldırganlar sunucunuza komut çalıştırabiliyor.

zafiyet seviyeleri

ZafiyetBilgi
CVECVE-2026-110447
Seviye🔴 KRİTİK (9.0+)
Sömürü Durumu✅ Aktif olarak sömürülüyor
Saldırı TürüUzaktan kod çalıştırma (RCE)
Kimler EtkileniyorCollabora Online - Built-in CODE Server (richdocumentscode)

etkilenen sistemler

SistemDurumNot
Nextcloud✅ EtkileniyorCollabora eklentili kurulumlar
Collabora Online✅ EtkileniyorTüm versiyonlar risk altında
Linux Sunucuları✅ EtkileniyorNextcloud kurulu olanlar
Windows Sunucuları✅ EtkileniyorNextcloud kurulu olanlar

bu açık ne yapıyor?

CVE-2026-110447 sayesinde saldırganlar:

  • nextcloud sunucunuzda komut çalıştırabiliyor (RCE)
  • arka kapı (backdoor) kurabiliyorlar sunucuya
  • dosyalarınıza erişebiliyorlar
  • sunucuyu tamamen kontrol altına alabiliyorlar

spoiler: bu açık şu an gerçek dünyada sömürülüyor. yani saldırganlar zaten nextcloud sunucularını hackliyor.

yapmanız gerekenler (acil!)

1. İlk olarak güncel olup olmadığını kontrol edin

# Nextcloud versiyonunuzu kontrol edin
sudo -u www-data php /var/www/nextcloud/occ status

# Collabora eklentisinin versiyonunu kontrol edin
sudo -u www-data php /var/www/nextcloud/occ app:list | grep -i collabora

2. Nextcloud’u ve Collabora’yı güncelle

# Nextcloud'u güncelle
cd /var/www/nextcloud
sudo -u www-data php occ upgrade

# Collabora Online eklentisini güncelle
sudo -u www-data php occ app:update richdocumentscode

# Docker kullanıyorsanız
docker pull collabora/code:latest
docker-compose up -d

3. Hemen yedek al (yapmadıysanız)

# Nextcloud veritabanı yedegi
mysqldump -u nextcloud_user -p nextcloud_db > nextcloud_backup_$(date +%Y%m%d).sql

# Dosyalar yedegi
sudo tar -czf /backup/nextcloud_files_$(date +%Y%m%d).tar.gz /var/www/nextcloud/data/

4. Log dosyalarını kontrol et

# Collabora loglarını kontrol edin
tail -f /var/log/collabora/collabora.log

# Nextcloud loglarını kontrol edin
tail -f /var/www/nextcloud/data/nextcloud.log

# Web sunucusu loglarını kontrol edin (Apache)
tail -f /var/log/apache2/error.log

# Web sunucusu loglarını kontrol edin (Nginx)
tail -f /var/log/nginx/error.log

5. Şüpheli aktiviteyi ara

# Son 24 saatte yapılan dosya değişikliklerini bul
find /var/www/nextcloud -type f -mtime -1

# Şüpheli PHP dosyalarını ara
find /var/www/nextcloud -name "*.php" -type f -mtime -1

# Arka kapı benzeri dosyaları ara
find / -name "shell.php" -o -name "backdoor.php" -o -name "webshell.php" 2>/dev/null

geçici çözümler (yamalanana kadar)

Collabora’yı devre dışı bırak

# Eğer acil durum varsa ve yamalamaya vakit yok
sudo -u www-data php /var/www/nextcloud/occ app:disable richdocumentscode

Ağ seviyesinde koruma

# Collabora portunu (9980) sadece localhost'tan erişilebilir yap
# /etc/nginx/sites-available/collabora içinde

server {
    listen 9980;
    server_name 127.0.0.1;  # sadece localhost
    # ... kalan config
}

# Iptables ile de koruyabilirsiniz
sudo iptables -A INPUT -p tcp --dport 9980 -s 127.0.0.1 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 9980 -j DROP

Collabora erişimini kısıtla

# Nextcloud config.php'de
'collabora' => [
    'enabled' => true,
    'server' => 'https://127.0.0.1:9980',
],

# Sadece belirli IP'lerden erişim izni ver (reverse proxy seviyesinde)

edit: önemli notlar

  • bu açık aktif olarak sömürülüyor, boş durma
  • cisa da ekleyecek bu açığı kritik listesine
  • collabora’yı docker’da çalıştırıyorsanız image’ı hemen güncelle
  • nextcloud hub iii ve sonrası versiyonlarında bu açık kapalı olabilir, ama yine de kontrol et
  • yedek almadan hiçbir işe girişme, sonra ağlamayın

kaynaklar

Bu içerik yapay zeka tarafından oluşturulmuştur.