Nextcloud Collabora Built-in CODE sunucusundaki CVE-2026-110447 açığı CISA KEV listesinde. 26.4.303 ile düzeltildi, geçici çözüm yok. Ne yapmalısın?
Nextcloud içinde Collabora ile belge düzenliyorsan muhtemelen Built-in CODE sunucusunu kullanıyorsun. Bu bileşen richdocumentscode uygulaması olarak gelir ve CVE-2026-110447 kimliğiyle bir uzaktan kod çalıştırma (RCE) açığı taşıyor. Açık, CISA’nın aktif istismar listesinde (KEV). Yani saldırganlar bunu gerçek saldırılarda kullanmış.
Kısa cevap: Nextcloud’un Collabora Built-in CODE sunucusu (richdocumentscode) 26.4.303’ten önceki sürümlerde, CODE sunucusu çalışmadığında kimliği doğrulanmamış bir saldırganın sunucuda komut çalıştırmasına izin veriyor (CVE-2026-110447, CVSS 4.0 puanı 9.2). Bağımsız Collabora Online sunucuları etkilenmiyor. Uygulamayı 26.4.303 veya üstüne güncelle. Geçici çözüm yok; uygulamayı yalnızca devre dışı bırakmak yetmez, güncellemen ya da kaldırman gerekir.
Ne oldu?
Açık, richdocumentscode uygulamasının proxy bileşenindeki bir OS komut enjeksiyonu. Zayıflık türü CWE-78: kullanıcıdan gelen veri işletim sistemi komutuna güvenli biçimde temizlenmeden (escape) eklenince saldırgan kendi komutunu çalıştırabiliyor.
NVD ve üreticinin danışmanlığına göre açık yalnızca CODE sunucusu çalışmadığında tetikleniyor. Örneğin uygulama yeniden başlatıldığında, güncellendiğinde ya da çöktüğünde. Yani sunucun şu an sorunsuz çalışması, bir sonraki yeniden başlatmada da güvende olacağın anlamına gelmez.
Açığın NVD’deki yayın tarihi 14 Ekim 2026. CISA bunu 23 Ekim 2026’da KEV kataloğuna ekledi. NVD açıklaması açığın Eylül ve Ekim 2026’da saldırılarda kullanıldığını yazıyor. KEV kaydı da listelenmeyi doğruluyor. Üreticinin danışmanlığı istismardan söz etmiyor. Fidye yazılımı kampanyalarında kullanılıp kullanılmadığı KEV kaydında “bilinmiyor” olarak geçiyor.
Açık eski: yayımlanmasının üzerinden 23 gün geçti, ama saldırılarda kullanıldığı yakın zamanda doğrulandı. Bu yüzden öncelik yüksek.
Bu açık, CVE-2025-66208’den ayrı bir açık. Önceki açığı kapatmış olman bunu kapatmaz.
Kimler etkileniyor?
| Özellik | Bilgi |
|---|---|
| CVE kimliği | CVE-2026-110447 |
| Ürün | Collabora Online – Built-in CODE Server (richdocumentscode), Nextcloud uygulaması |
| Etkilenen sürümler | 26.4.303’ten önceki tüm sürümler (NVD: “before 26.4.303”) |
| Düzeltilen sürüm | 26.4.303. Issue #354’te 26.4.502 de geçiyor ve CODE sunucusunun uygulama devre dışıyken durmasını içeren bir sonraki sürüm olarak anılıyor. |
| Nextcloud gereksinimi | Yeni uygulama sürümü en az Nextcloud 30 istiyor. Nextcloud 29 ve eskisi için üretici, Nextcloud’u yükseltmeyi ya da uygulamayı kaldırmayı öneriyor. |
| CVSS puanı | NVD birincil puanı CVSS 3.1 ile 9.8; CVSS 4.0 ile 9.2 |
| Önem derecesi | Kritik |
| Zayıflık türü (CWE) | CWE-78: OS komut enjeksiyonu |
| NVD yayın tarihi | 14 Ekim 2026 |
| CISA KEV’e eklenme | 23 Ekim 2026 |
| CISA son tarihi | 26 Ekim 2026 (bugün itibarıyla geçmiş) |
| Bağımsız Collabora | Etkilenmiyor (Docker ya da paket kurulumu dahil) |
| Fidye yazılımı kullanımı | Bilinmiyor (KEV kaydı) |
CISA’nın son tarihi geçtiği için güncellemeyi bir sonraki bakım penceresine bırakmak yerine bugün planla.
Ne yapmalısın?
- Sürümünü kontrol et. Nextcloud’un kurulu olduğu dizinde, web sunucu kullanıcısı olarak şu komutu çalıştır:
php occ app:list | grep richdocumentscode. Sürüm 26.4.303’ten küçükse etkilenmişsin. Nextcloud Docker’da çalışıyorsa komutu konteynerin içinde çalıştır. - Nextcloud sürümünü kontrol et. Uygulamanın yeni sürümü en az Nextcloud 30 gerektiriyor. Nextcloud 29 ya da daha eskiyse önce Nextcloud’u yükseltmen gerekir. Yükseltemiyorsan uygulamayı kaldır.
- Uygulamayı güncelle. Kaynaklar güncelleme yöntemini ayrıntılandırmıyor. Nextcloud’un yönetici belgelerindeki uygulama güncelleme adımlarını izle. Güncelledikten sonra 1. adımdaki komutla sürümü yeniden doğrula.
- Geçici çözüm arama. Üretici ve issue’da geçici çözüm yok. Uygulamayı devre dışı bırakmak yetmez. Güncelleyemiyorsan uygulamayı kaldır. Bunu bir bakım penceresinde yap ve bu arada Nextcloud’un internete açık olup olmadığını değerlendir.
- Şüphede ne yaparsın? Açık, CODE sunucusu çalışmadığı anlarda istismar edilebiliyor. Bu yüzden güncelledikten sonra da kontrol et. Üretici issue’sunda (#354) bakımcılar, sunucuda kalmış olabilecek
shx*.phpdosyalarının silinmesini öneriyor. CISA bu kayıt için adli inceleme (forensic triage) gerekliliğine de işaret ediyor. Tanımadığın bir dosya, beklenmeyen bir yönetici hesabı ya da olağan dışı giden bağlantı görürsen sunucuyu izole et, kayıtları sakla ve bir güvenlik uzmanından yardım al.
Sık sorulan sorular
Beni etkiliyor mu?
Nextcloud’da richdocumentscode uygulaması kuruluysa ve sürümün 26.4.303’ten düşükse evet. Bağımsız Collabora Online kullanıyorsan etkilenmiyorsun.
CVSS puanı kritik; neden bu kadar öncelikli?
CVSS puanı açığın teknik ağırlığını gösterir. Aciliyeti ise KEV kaydı veriyor. Açık aktif istismar listesinde ve CISA’nın son tarihi geçti. Puan tek başına değil, bu bilgiyle birlikte değerlendir.
Hemen güncelleyemezsem ne yapmalıyım?
Kaynaklarda geçici çözüm yok ve uygulamayı devre dışı bırakmak yetmiyor. Güncelleyemiyorsan uygulamayı kaldır. Nextcloud 29 ya da daha eskiyse önce Nextcloud’u yükseltmen gerekir. Bu mümkün değilse de uygulamayı kaldır. Kaldırana kadar Nextcloud’un internete açık olup olmadığını gözden geçir.
Kaynaklar
- NVD kaydı: https://nvd.nist.gov/vuln/detail/CVE-2026-110447
- CISA KEV kataloğu: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Üretici danışmanlığı (GHSA-g3vx-3m76-fghh): https://github.com/CollaboraOnline/online/security/advisories/GHSA-g3vx-3m76-fghh
- richdocumentscode issue #354: https://github.com/CollaboraOnline/richdocumentscode/issues/354
- Nextcloud forum duyurusu: https://help.nextcloud.com/t/to-collabora-built-in-user-update-asap/250516
Bu yazı 6 Kasım 2026’da CISA ve NVD kayıtlarına göre hazırlandı; yeni bilgi çıkarsa güncellenecek. Sunucu ve uygulama güncellemesi ile güvenlik bakımı için teklif formu üzerinden bana ulaşabilirsin.