Server Nextcloud Dibobol Lewat Collabora Built-in CODE: CVE-2026-110447 dan Cara Mengeceknya

Pada 23 Oktober 2026, badan keamanan siber Amerika Serikat, CISA, memasukkan CVE-2026-110447 ke daftar celah yang sedang aktif dieksploitasi. Celah ini ada di Collabora Online Built-in CODE Server, aplikasi Nextcloud yang membuat file Word, Excel, dan PowerPoint bisa diedit langsung di browser tanpa perlu menyiapkan server office terpisah. Lewat celah ini, siapa pun di internet bisa menjalankan perintah di server tanpa login. Serangannya sudah berjalan sejak awal September, lebih dari sebulan sebelum advisory resminya terbit. Karena itu, update saja tidak cukup. Anda juga perlu memastikan tidak ada yang sempat masuk lebih dulu.

Siapa yang Terdampak

Celah ini hanya berlaku untuk satu konfigurasi: Nextcloud yang memasang aplikasi Collabora Online - Built-in CODE Server, dengan nama paket richdocumentscode, di versi lebih rendah dari 26.4.303. Aplikasi ini menjalankan server dokumen kecil di dalam Nextcloud itu sendiri. Banyak kantor kecil, sekolah, dan tim yang mengelola Nextcloud sendiri memakainya, karena fitur edit online bisa langsung jalan dalam beberapa klik tanpa server tambahan.

Untuk mengeceknya, jalankan sudo -u www-data php occ app:list | grep -i richdocumentscode dari folder Nextcloud, atau buka menu Apps di panel admin lalu cari Collabora Online - Built-in CODE Server. Ganti www-data dengan user yang dipakai web server Anda.

Cara Serangannya Bekerja

Collabora menggolongkan celah ini sebagai OS command injection lewat script proxy.php milik aplikasi tersebut. Request yang dirakit khusus bisa membuat server menjalankan perintah sebagai user web server, tanpa perlu login. Collabora belum merilis penjelasan teknis, tetapi peneliti yang membandingkan kode versi rentan dengan versi perbaikannya menunjuk ke fungsi yang menyalakan server dokumen bawaan. Fungsi itu menyusun perintah shell dari bagian-bagian request yang masuk, dan cara nilai-nilai tersebut di-quote masih meloloskan command substitution.

Ada satu syarat: serangan hanya berhasil ketika server dokumen bawaan sedang tidak berjalan. Kondisi ini terjadi setelah container di-restart, setelah upgrade, atau saat crash. Di server pada umumnya, kondisi ini cukup sering terjadi sehingga scanner otomatis punya banyak kesempatan.

User web server biasanya bisa membaca seluruh instalasi Nextcloud, termasuk config.php yang berisi password database dan secret aplikasi, serta semua file di folder data. Dalam praktiknya, itu berarti dokumen milik semua pengguna di server tersebut.

Menonaktifkan Aplikasi Saja Tidak Cukup

Bagian inilah yang paling sering membuat administrator lengah. Menonaktifkan aplikasi di Nextcloud hanya mencegah aplikasi itu dimuat oleh Nextcloud. File proxy.php tetap ada di folder apps dan tetap bisa diakses langsung lewat web server. Collabora menyatakan dengan jelas bahwa aplikasi ini harus di-upgrade ke 26.4.303 atau lebih baru, atau dihapus. Sekadar dimatikan tidak menyelesaikan masalah.

Kronologi

Jarak antara perbaikan dan advisory inilah yang jadi persoalan. Selama lebih dari sebulan, satu-satunya tanda yang terlihat publik hanyalah update yang tampak biasa saja, sehingga administrator yang tidak rutin memperbarui aplikasi tidak punya alasan untuk menganggapnya mendesak. Sementara itu, perubahan kodenya terlihat di repository publik, dan serangan pertama yang tercatat terjadi kurang dari sehari setelah perbaikan itu di-commit.

Apa yang Dilakukan Penyerang

Laporan dari para administrator di GitHub dan dari beberapa CSIRT nasional menunjukkan pola yang mirip. Penyerang menulis web shell PHP kecil ke dalam folder aplikasi richdocumentscode, biasanya dengan nama berawalan shx atau shrf, lalu memakainya untuk menjelajahi isi server. Di salah satu server, penyerang mencari database password manager seperti file KeePass dan dompet kripto. Badan keamanan siber nasional Italia melaporkan satu server yang ditanami tiga web shell, dan sebuah file konfigurasi berisi kredensial serta secret aplikasi berhasil diambil. Mereka menyebut kampanye ini otomatis, melibatkan beberapa pelaku, dan masih berlangsung. CERT Polska juga memperingatkan bahwa celah ini dipakai dalam serangan ransomware.

Update aplikasi hanya mengganti file milik aplikasi itu, tetapi tidak menghapus apa yang sudah ditambahkan penyerang ke server. Web shell yang tertinggal tetap berfungsi setelah patch dipasang.

Upgrade atau Hapus Aplikasinya

1. 1Cek versi Nextcloud. Versi richdocumentscode yang sudah diperbaiki membutuhkan Nextcloud 30 ke atas. Nextcloud 29 ke bawah sudah end of life, dan versi aplikasi terbaru yang tersedia untuknya, yaitu 26.4.104, masih rentan. Di server seperti ini, pilihannya upgrade Nextcloud atau hapus aplikasinya.
2. 2Di Nextcloud 30 ke atas, update aplikasi dengan sudo -u www-data php occ app:update richdocumentscode, atau lewat halaman Apps di panel admin.
3. 3Pastikan versi yang terpasang sudah 26.4.303 atau lebih baru dengan occ app:list.
4. 4Jika fitur edit online tidak dibutuhkan, hapus aplikasinya sekalian dengan sudo -u www-data php occ app:remove richdocumentscode.

Beberapa administrator melaporkan versi 26.4.402 gagal menyalakan server dokumen atau membuka file di server mereka, dan masalahnya hilang setelah kembali ke 26.4.303. Jika Anda mengalami hal yang sama, turunkan ke 26.4.303, jangan ke versi yang lebih lama dari itu.

Mengecek Apakah Server Sudah Dibobol

Lakukan pengecekan ini walaupun aplikasi sudah di-update, dan telusuri setidaknya sampai 10 September 2026. Sebelum membersihkan apa pun, salin log dan daftar isi folder aplikasi ke tempat yang aman, supaya buktinya tetap ada kalau nanti dibutuhkan.

• Jalankan sudo -u www-data php occ integrity:check-app richdocumentscode, lalu periksa setiap file yang tidak dikenali oleh integrity check.
• Cari file PHP yang seharusnya tidak ada: find /var/www/nextcloud/apps/richdocumentscode -name "*.php", dan perhatikan nama seperti shx*.php, shrf*.php, atau Nx_*.php. Sesuaikan path-nya dengan instalasi Anda.
• Telusuri access log web server untuk request ke richdocumentscode/proxy.php yang mengandung sintaks shell ter-encode seperti %24%28, $(, ${IFS}, atau %2e%2e.
• Periksa koneksi keluar dari server ke webhook.site, layanan sah yang dipakai penyerang untuk menerima callback.
• Waspadai aktivitas tak wajar dari user web server, misalnya percobaan sudo yang gagal atau pencarian file .kdbx, wallet.dat, dan keystore.json.

Hasil pengecekan yang bersih belum tentu berarti server aman. Nama file bisa berbeda di setiap serangan, dan log bisa saja sudah terhapus karena rotasi. Jika menemukan sesuatu yang mencurigakan, anggap server sudah disusupi: isolasi server, simpan buktinya, lalu dari komputer yang tepercaya ganti password database, password akun email, app password, dan API key untuk setiap integrasi yang secret-nya bisa dibaca oleh user web server. Cek juga apakah kredensial tersebut dipakai ulang di sistem lain. Dalam banyak kasus, membangun ulang server lalu memulihkan data dari backup yang bersih lebih aman daripada mencoba menghapus jejak penyerang satu per satu.

Setup yang Lebih Layak untuk Production

Collabora sendiri menyebut Built-in CODE Server cocok untuk pengujian dan pemakaian kecil yang bukan production. Untuk perusahaan yang menyimpan kontrak, invoice, dan dokumen HR di Nextcloud, server Collabora Online terpisah, biasanya dijalankan dari image Docker resmi di belakang reverse proxy, lebih mudah diperbarui, bisa dibatasi aksesnya di level jaringan, dan memisahkan mesin dokumen dari web root Nextcloud. Setup seperti ini juga tidak terdampak celah kali ini.

Pelajaran yang lebih luas menyangkut kebiasaan update aplikasi. Aplikasi Nextcloud diperbarui terpisah dari Nextcloud-nya, dan dalam kasus ini perbaikan keamanannya datang sebagai rilis kecil yang sepi, sebulan sebelum ada yang menyebutnya perbaikan keamanan. Memasang update aplikasi secara terjadwal, tanpa menunggu advisory, sebenarnya sudah menutup celah ini sejak September. Jika Anda butuh bantuan memeriksa atau memperkuat keamanan Nextcloud yang di-host sendiri, tim managed service kami siap membantu.