Er duikt opnieuw een risicovol scenario op in de wereld van documentbewerking in de cloud: backdoor via Nextcloud. In dit geval werd misbruik gemaakt van een kwetsbaarheid in een optionele Collabora-app die binnen Nextcloud draait, waardoor aanvallers web shells konden neerzetten op Nextcloud-servers.
Het gaat niet om een “standaard” configuratie voor iedereen, maar wie de betreffende app gebruikt, moet meteen actie ondernemen. Hieronder lees je wat er precies misging, wie risico loopt en welke stappen je nu moet uitvoeren.
Wat was de kwetsbaarheid precies?
De aanval richtte zich op de Collabora Online app “Built-in CODE Server” (in de Nextcloud-applijst gepubliceerd onder de package-naam richdocumentscode). Deze app gebruikt een lokale versie van Collabora’s CODE server op dezelfde Nextcloud-instantie, zodat Nextcloud Office documenten kan bewerken zonder een aparte server.
De kern van het probleem: tijdens momenten waarop de lokale CODE-server niet luisterde—bijvoorbeeld tijdens een restart, upgrade of crash—kon een aanvaller via een on-authenticated request een commando laten uitvoeren met de rechten van de webserver-account.
Hoe wordt een web shell misbruikt?
Een web shell is een klein bestand waarmee een aanvaller willekeurige commando’s kan sturen via webverzoeken. In dit incident konden aanvallers zo’n shell plaatsen in de map van de app. Vervolgens probeerden ze informatie uit te lezen en controle te houden over de server.
Belangrijk: de kwetsbaarheid werkte alleen onder specifieke omstandigheden. Omdat de app het commando alleen construeert wanneer hij de lokale CODE-server moet starten, kwam de aanval vooral opzetten wanneer de server even “down” was.
Wanneer speelde dit zich af en hoe werd het ontdekt?
Administrators rapporteerden het issue op GitHub. De eerste geregistreerde aanval vond volgens de meldingen plaats op 10 september. In de logs van ten minste twee getroffen servers waren verzoeken zichtbaar op respectievelijk 19:51 en 09:56 (UTC+2), telkens vanaf hetzelfde IP-adres en gericht op een specifieke endpoint.
Collabora bracht vervolgens een fix uit in versie 26.4.303 op 11 september. Later—op 14 oktober—publiceerde Collabora een advisory met de identifier CVE-2026-110447. In die advisory werd benadrukt dat alleen het uitschakelen van de app niet voldoende is.
Wie loopt risico?
Collabora’s advies richtte zich op de Development Edition van de ingebouwde CODE-server in deze specifieke “built-in” modus. Losstaande Collabora Online servers zouden volgens de advisory niet geraakt zijn.
Daarnaast waarschuwde de Nextcloud-community dat installaties niet getroffen zouden worden wanneer gebruikers alleen de Nextcloud Office-app (package richdocuments) gebruiken, zonder de ingebouwde CODE-app. Dat geldt ook wanneer die omgeving draait in Docker, via een Linux-pakket of via een hostingprovider—mits de “built-in CODE Server”-component ontbreekt.
Wat deden aanvallers nadat ze toegang hadden?
Uit de onderzochte verzoeken blijkt dat aanvallers een one-line PHP web shell probeerden te plaatsen in de app-map en daarna technische output probeerden te exfiltreren. Daarbij zagen onderzoekers ook signalen dat de aanvallers verder gingen dan alleen “bewijzen” dat de shell werkte.
Zo werd onder meer gezocht naar bestanden en locaties die passen bij credential stores en cryptocurrency wallets, inclusief bestanden met namen als wallet.dat en keystore.json. Er werden ook extensies en namen genoemd zoals *.kdbx, en aanduidingen van populaire tool-ecosystemen (o.a. Bitwarden, 1Password en meerdere crypto-wallet gerelateerde termen).
Geen van de beoordeelde aanvragen bevatte duidelijke acties zoals archiveren, uploaden of kopiëren van bestanden. Tegelijk geldt: alles wat met de rechten van de webserver-account kan worden gelezen, moet je als mogelijk blootgesteld behandelen.
Waarom werkt alleen “uitzetten” niet?
In de advisory van Collabora wordt het expliciet gemaakt: uitschakelen is niet genoeg. Je moet de app updaten naar 26.4.303 of later, of de app verwijderen.
De reden is praktisch: het probleem zit in de manier waarop de app de lokale CODE-server start en daarbij met verzoekdata commando-invoer construeert. Als de app nog aanwezig is—zeker in de kwetsbare modus—blijft het risico bestaan wanneer de server weer in die situatie terechtkomt.
Welke versies zijn beschermd en wat als je oudere Nextcloud gebruikt?
De fix vereist een bepaalde Nextcloud-ondergrens. Collabora geeft aan dat de gecorrigeerde versies van de app Nextcloud 30 of later vereisen.
Voor Nextcloud 29 of ouder geldt dat dit niet meer ondersteund wordt (end of life). In de app store zou bovendien nog een versie beschikbaar blijven die kwetsbaar is. Dat betekent: upgrade je Nextcloud naar een ondersteunde versie, of verwijder de app als je niet kunt upgraden.
Concreet: wat moet je nu doen?
Volg de aanpak zoals Collabora en de melders die hebben beschreven:
- Update of verwijder de app richdocumentscode (Collabora Online – Built-in CODE Server) naar 26.4.303+, of verwijder de app volledig.
- Als je Nextcloud 29 of ouder draait en update naar de vereiste appversie niet mogelijk is: upgrade Nextcloud of verwijder de app.
- Als je al geüpdatet hebt: zoek naar achtergebleven web shell bestanden (genaamd shx*.php) in de map van de app.
- Check je toegangslogs terug tot minstens 10 september op verdachte requests. Er werden specifieke patronen genoemd in het verzoekpad (zoals varianten met padmanipulatie en commando-indicatoren).
- Controleer ook op sudo-pogingen door de webserver-account. Als die rekening iets kon lezen of uitvoeren, behandelen experts dat als potentieel compromis.
Let op: er werden meerdere bestandsnamen genoemd in meldingen (o.a. varianten zoals shrf4645.php, shxa35d0.php, en andere shx*.php bestanden). Door je eigen omgevingsmappen en logs te vergelijken, kun je gerichter vaststellen of er iets is achtergelaten.
Praktische aandachtspunten bij incident response
Ook al is er in de meldingen geen bewijs van root-toegang gedeeld, de uitkomst kan alsnog ernstig zijn. Een web shell geeft immers controle binnen de rechten van de webserver-account, en dat kan genoeg zijn om credentials, tokens of gevoelige bestanden te benaderen.
Daarom is het verstandig om naast het opruimen van verdachte bestanden ook breder te kijken naar mogelijke impact. Denk aan:
- Integriteit van de app-directory’s en betrokken containers/hosts.
- Herkomst van netwerkverzoeken (bij verdachte endpoints, verdachte IP’s en vreemde uitgaande callbacks).
- Controle op mislukte of ongebruikelijke privilege-escalatiepogingen.
Vergelijkbare risico’s: patchen als onderdeel van je werkproces
Dit incident past in een breder patroon: kwetsbaarheden in “randapps” kunnen via webrequest-logica toch server-side code-executie mogelijk maken, zeker wanneer services niet consistent beschikbaar zijn (restart/upgrade/crash-situaties).
Als je je patchproces wilt versterken, kan het helpen om ook naar andere advisories rond document- en werkplekcomponenten te kijken. Bijvoorbeeld: Cisco Secure Email Gateway met actief misbruik van een kritieke bug laat zien dat snelle mitigatie en versiecontrole cruciaal zijn zodra er actieve aanvallen worden gezien.
Wil je juist meer focus op identity en toegangsbeveiliging, dan biedt Zero Trust en identity security: strategieën in 2026 aanknopingspunten om risico’s van misbruik van accounts en sessies te beperken.
Samenvatting: voorkom dat je server weer “aan” gaat
Backdoor via Nextcloud kwam in dit geval tot stand doordat een kwetsbare Collabora “Built-in CODE Server”-app tijdens specifieke momenten commando’s kon afleiden uit requestdata. Aanvallers plaatsten web shells en probeerden gevoelige data te benaderen, terwijl de impact zich (volgens de meldingen) afspeelde binnen de rechten van de webserver-account.
De belangrijkste actie is helder: update naar richdocumentscode 26.4.303 of later of verwijder de app. Uitschakelen alleen is niet voldoende. Controleer daarna op achtergebleven shx*.php-bestanden en verdachte requests in je logs.
Bron: https://thehackernews.com/2026/10/hackers-backdoor-nextcloud-servers.html
