هکرها از نقص Collabora RCE برای درب پشتی سرورهای Nextcloud سوء استفاده می کنند

عوامل تهدید از یک نقص اجرای دستور حیاتی، که اکنون به عنوان CVE-2026-110447 ردیابی می شود، در برنامه Collabora Online - Built-in CODE Server (richdocumentscode) برای Nextcloud سوء استفاده می کنند.

گزارش‌های متعدد سرپرست نشان می‌دهد که حملات در اواسط سپتامبر، تقریبا یک ماه قبل از بولتن رسمی امنیتی، مشاوره GitHub و انتشار CVE آغاز شده‌اند.

CVE-2026-110447 بر نسخه‌های richdocumentscode قبل از 26.4.303 تأثیر می‌گذارد و در مکانیسم برنامه Nextcloud برای راه‌اندازی سرور Collabora همراه است.

این نقص فقط روی برنامه سرور داخلی اختیاری CODE تأثیر می گذارد. به گفته Collabora، سرورهای مستقل Collabora Online، نصب‌های Docker و RPM/DEB، و استقرار All-in-One Nextcloud بی‌تأثیر باقی می‌مانند.

این حملات شامل ارسال یک درخواست مخرب به نقطه پایانی proxy.php برنامه است که باعث تزریق فرمان سیستم عامل می شود.

یک پیش نیاز کلیدی برای بهره برداری موفقیت آمیز این است که سرور CODE داخلی باید متوقف شود (به عنوان مثال، پس از راه اندازی مجدد، ارتقاء، خرابی). احراز هویت یا تعامل کاربر مورد نیاز نیست.

مدیران سیستم تحت تأثیر فعالیت های مخرب، حملاتی را علیه چندین نقطه پایانی گزارش کردند که به تاریخ 10 سپتامبر بازمی گردد.

بر اساس گزارش‌ها، مهاجم پوسته‌های وب PHP را کاشت و از آن‌ها برای جستجوی پایگاه‌های داده رمز عبور، مصنوعات مدیریت رمز عبور و کیف پول‌های ارزهای دیجیتال استفاده کرد.

برخی از کاربران همچنین گزارش دادند که اپراتورهای باج افزار از این نقص سوء استفاده می کنند، اما BleepingComputer به طور مستقل نمی تواند این موضوع را تأیید کند.

به مدیران سیستم توصیه می شود که به نسخه 26.4.303 یا جدیدتر ارتقا دهند یا در صورت عدم نیاز، برنامه سرور را حذف کنند. فروشنده هشدار داد که غیرفعال کردن برنامه کافی نیست.

فراتر از اخطارهای اواسط سپتامبر از جانب نگهبانان، یک هشدار انجمن نیز در 3 اکتبر منتشر شد که از مدیران خواسته شد به دلیل بهره برداری مداوم فورا به روز رسانی کنند.

با این حال، فقدان شناسه CVE کار را برای مدیران دشوارتر می کرد تا مشکل را به درستی مشخص کنند و دفاع های کارآمد را پیاده سازی کنند.

مطالعه‌ای از شرکت امنیت سایبری Second Security، شکاف بین اصلاحات امنیتی و اعلان‌های آسیب‌پذیری رسمی را نشان می‌دهد.

این شرکت نمونه‌های واقعی از نقص‌های منبع باز را تجزیه و تحلیل کرد و دریافت که فاصله متوسط ​​بین اصلاحات عمومی و انتشار CVE 39 روز در ماه آگوست بود، در حالی که در ژانویه 5.1 روز بود.

محققان پیشنهاد می‌کنند که حجم رو به رشد اکتشافات آسیب‌پذیری به کمک هوش مصنوعی، پردازش CVE را تحت فشار قرار داده و به تأخیر در انتشار کمک می‌کند.

در بسیاری از موارد، محققان دریافتند که کد بهره‌برداری عمومی در عرض چند ساعت پس از تعمیر امنیتی و چندین روز قبل از انتشار CVE مربوطه، به صورت آنلاین ظاهر شده است.

Second Security خاطرنشان می‌کند که استفاده از ابزارهای هوش مصنوعی، ایجاد اکسپلویت‌های کاری برای اصلاحات منتشر شده را برای مهاجمان آسان می‌کند.

در مورد Collabora، اصلاح در 9 سپتامبر انجام شد و نسخه 26.4.303 در 11 سپتامبر منتشر شد. مشاوره و CVE در 14 اکتبر منتشر شد، فاصله ای بیش از چهار هفته.

BleepingComputer با Nextcloud تماس گرفت و سؤالاتی در مورد پاسخ آن به گزارش های فعالیت های مخرب و همچنین جزئیات در مورد حملات و تعداد سیستم های تحت تأثیر قرار داد.

Nextcloud به BleepingComputer گفت که Collabora این آسیب‌پذیری را در اواسط سپتامبر گزارش کرد و به‌روزرسانی از طریق فروشگاه برنامه در دسترس قرار گرفت.

این شرکت تاخیر در افشای اطلاعات را با بیان اینکه به کاربران زمان برای به‌روزرسانی می‌دهد و بهره‌برداری گسترده مشاهده نکرده است، توجیه کرد.

در یک پست وبلاگی در اوایل امروز در مورد این فعالیت، Collabora اعلام تاخیر را در درجه اول به عقب ماندگی های پردازش GitHub CVE نسبت داد، که به گفته آن ها به دلیل افزایش حجم گزارش های امنیتی مبتنی بر هوش مصنوعی تحت فشار قرار گرفتند.

به میکو هیپونن و رهبران امنیتی NFL، CHANEL و Atlassian بپیوندید تا در یک نشست دیجیتالی دو ساعته در مورد اینکه حملات با سرعت هوش مصنوعی چه تغییراتی می‌کنند، مدافعان چه کارهایی را باید انجام ندهند و چگونه اعتبار، تصمیم‌گیری، اصلاح و تأیید مجدد با سرعت ماشین را انجام دهند، بپیوندید.

Cisco وصله‌های جدید Secure Email Gateway zero-day را که در حملات مورد سوء استفاده قرار می‌گیرد

GitLab در مورد آسیب پذیری RCE حیاتی در سرویس AI Gateway هشدار می دهد

Check Point در مورد سوء استفاده هکرها از نقص امنیتی VPN RCE هشدار می دهد

هکرها شروع به سوء استفاده از نقص مهم وردپرس برای اجرای کد می کنند

نقص Critical Elementor Pro برای تصاحب سایت های وردپرس مورد سوء استفاده قرار گرفت