CISA vừa thêm lỗ hổng CVE-2026-110447 vào danh mục lỗ hổng đã bị khai thác (KEV) ngày 23/10/2026. Lỗi nằm trong Collabora Online Built-in CODE Server, ứng dụng soạn thảo tài liệu tích hợp sẵn cho Nextcloud. Kẻ tấn công không cần đăng nhập vẫn có thể chạy lệnh trên máy chủ, và đã dùng lỗi này để cài web shell. Ai tự host Nextcloud trên VPS nên kiểm tra ngay hôm nay.

Tóm tắt nhanh

  • Ai bị ảnh hưởng: Nextcloud cài ứng dụng richdocumentscode (Built-in CODE Server) bản trước 26.4.303.
  • Mức độ: nghiêm trọng, CVSS v4 9.2 theo advisory của Collabora. Lỗi thuộc nhóm CWE-78 (chèn lệnh hệ điều hành).
  • Đã bị khai thác chưa: có. Bản ghi CVE nêu khai thác diễn ra trong tháng 9 và tháng 10/2026. CISA đặt hạn khắc phục cho cơ quan liên bang Mỹ là 26/10/2026.
  • Cách xử lý: nâng cấp lên 26.4.303 hoặc gỡ ứng dụng. Chỉ tắt ứng dụng là chưa đủ.

Lỗ hổng Collabora CODE hoạt động thế nào

Ứng dụng Built-in CODE Server chạy một bản Collabora Online thu gọn ngay trong Nextcloud, giao tiếp qua tệp proxy.php. Theo advisory GHSA-g3vx-3m76-fghh, một request được tạo đặc biệt gửi tới proxy.php có thể khiến máy chủ chạy lệnh hệ điều hành dưới quyền tài khoản web server (không phải root).

Điều kiện là tiến trình CODE tích hợp phải đang không chạy, chẳng hạn ngay sau khi khởi động lại container, nâng cấp phần mềm hoặc khi dịch vụ bị treo. Trạng thái này không hiếm trên máy chủ thật, nên không nên coi đây là rào cản lớn.

Collabora cho biết đây là lỗi khác với CVE-2025-66208 trước đó, và bản sửa cho lỗi cũ không chặn được lỗi mới.

Diễn biến khai thác

  • 10/9/2026: theo The Hacker News, đây là thời điểm ghi nhận vụ tấn công đầu tiên trong log.
  • Giữa tháng 9: Nextcloud cho biết Collabora báo lỗi và bản sửa đã có trên app store.
  • 3/10: người dùng cảnh báo trên diễn đàn cộng đồng Nextcloud rằng họ tìm thấy web shell trên máy chủ.
  • 14/10: Collabora công bố advisory và mã CVE.
  • 23/10: CISA đưa CVE-2026-110447 vào KEV, cùng lúc với một lỗi của Arista VeloCloud Orchestrator.

Các báo cáo hiện chưa nêu tên nhóm tấn công hay số máy chủ bị xâm nhập. Một đánh giá của Censys ngày 16/10 được dẫn lại ghi nhận khoảng 19.454 máy chủ liên quan đến ứng dụng này. Con số đó gồm cả một gói ARM64 riêng mà advisory chưa xác định trạng thái, và không phải số máy bị xâm nhập.

Phiên bản bị ảnh hưởng và bản vá

Thành phầnBị ảnh hưởngĐã váGhi chú
richdocumentscode (Built-in CODE Server)Trước 26.4.30326.4.303 trở lênTheo GHSA-g3vx-3m76-fghh
Collabora Online chạy độc lậpKhôngKhông áp dụngNgoài phạm vi advisory
Nextcloud 29 trở về trước (hết hỗ trợ)Có, nếu cài ứng dụngNâng cấp Nextcloud hoặc gỡ ứng dụngKhuyến cáo của Collabora

Kiểm tra phiên bản và dấu hiệu xâm nhập

Chạy các lệnh sau với user của web server (thường là www-data) trong thư mục Nextcloud. Đường dẫn có thể khác trên máy của bạn.

# Xem ứng dụng có được cài không và phiên bản bao nhiêu
sudo -u www-data php /var/www/nextcloud/occ app:list | grep -A1 richdocumentscode

# Cập nhật ứng dụng lên bản mới nhất
sudo -u www-data php /var/www/nextcloud/occ app:update richdocumentscode

# Hoặc gỡ hẳn nếu không dùng
sudo -u www-data php /var/www/nextcloud/occ app:remove richdocumentscode

Với Nextcloud chạy bằng Docker, thay sudo -u www-data php bằng docker exec -u www-data <container> php.

Tìm tệp PHP lạ mới xuất hiện, vì web shell thường là tệp PHP:

# Tệp PHP được tạo hoặc sửa từ đầu tháng 9/2026
find /var/www/nextcloud -type f -name "*.php" -newermt "2026-09-01" -ls

# So sánh tính toàn vẹn mã nguồn Nextcloud
sudo -u www-data php /var/www/nextcloud/occ integrity:check-core

# Tìm request tới proxy.php trong log web server
grep "richdocumentscode/proxy.php" /var/log/nginx/access.log | tail -n 50

Sau một lần cập nhật ứng dụng hợp lệ, nhiều tệp cũng có ngày sửa mới. Vì vậy hãy chú ý tệp nằm ở vị trí bất thường hoặc có tên lạ, không chỉ dựa vào ngày.

Việc cần làm ngay

Với chủ VPS tự host Nextcloud

  1. Kiểm tra ứng dụng richdocumentscode. Nếu có, cập nhật lên 26.4.303 trở lên hoặc gỡ bỏ.
  2. Nếu đang chạy Nextcloud 29 hoặc cũ hơn, lên kế hoạch nâng cấp Nextcloud. Trong lúc chờ, gỡ ứng dụng.
  3. Rà web shell và chạy occ integrity:check-core. Nếu phát hiện tệp lạ, coi như máy chủ đã bị xâm nhập.
  4. Khi có dấu hiệu xâm nhập: đổi mật khẩu cơ sở dữ liệu trong config.php, thu hồi app password và token, kiểm tra cron của user web server.
  5. Cân nhắc dùng máy chủ Collabora Online độc lập thay cho bản tích hợp, vì cấu hình này không nằm trong phạm vi lỗi.

Với người dùng Nextcloud do nhà cung cấp quản lý

  • Hỏi nhà cung cấp xem dịch vụ có dùng Built-in CODE Server không và đã nâng cấp chưa.
  • Nếu là quản trị viên của instance, vào mục Apps trong giao diện quản trị để xem phiên bản "Collabora Online - Built-in CODE Server".
  • Đổi mật khẩu và rà các phiên đăng nhập lạ nếu nhà cung cấp xác nhận từng bị ảnh hưởng.

Nguồn tham khảo