Nextcloud Dibobol Lewat Collabora CODE: Cara Cek dan Amankan

Kalau Anda menjalankan Nextcloud sendiri dan memakai fitur edit dokumen lewat aplikasi Collabora Online - Built-in CODE Server, ada celah kritis yang sudah dipakai untuk memasang web shell di server. Perbaikannya sudah rilis, tetapi mematikan aplikasinya saja tidak cukup. Artikel ini menjelaskan cara mengecek apakah Anda terdampak, cara mengupdatenya, dan apa yang dicari di server untuk memastikan belum ada penyusup.

Informasi dicek pada 28 Oktober 2026.

Ringkasnya: aplikasi richdocumentscode versi di bawah 26.4.303 rentan. Update ke 26.4.303 atau hapus aplikasinya. Menonaktifkan di menu Nextcloud tidak menutup celah.

Apa yang terjadi

Pelaku mengeksploitasi celah command injection (CVE-2026-110447, skor CVSS 9,2) di skrip proxy.php milik aplikasi tersebut untuk menanam web shell, yaitu file kecil yang menjalankan perintah apa pun dari permintaan web. Menurut The Hacker News, tiga administrator melaporkan serangan ini di GitHub dengan serangan pertama yang tercatat pada 10 September. Collabora merilis versi 26.4.303 pada 11 September, tetapi nomor CVE dan advisori resminya baru terbit pada 14 Oktober.

Celah ini hanya bisa dipicu ketika server dokumen lokal dari aplikasi itu sedang tidak berjalan, misalnya saat restart, upgrade, atau setelah crash. Pada satu server yang diselidiki, penyerang lalu mencari file penyimpanan kredensial dan dompet kripto. Laporan itu tidak menemukan perintah yang menyalin file keluar, tetapi apa pun yang bisa dibaca akun web server harus dianggap berpotensi terekspos.

Siapa yang terdampak

• Terdampak: instalasi Nextcloud yang memasang aplikasi Collabora Online - Built-in CODE Server (richdocumentscode) versi di bawah 26.4.303. Aplikasi ini menjalankan salinan Collabora di server Nextcloud itu sendiri, dan di toko aplikasi disebut untuk uji coba atau pemakaian pribadi dan tim kecil.
• Tidak terdampak: server Collabora Online mandiri, dan instalasi yang hanya memakai aplikasi Nextcloud Office (richdocuments) tanpa aplikasi built-in, baik server Collabora-nya di Docker, paket Linux, maupun di penyedia hosting.

Versi yang sudah diperbaiki membutuhkan Nextcloud 30 atau lebih baru. Nextcloud 29 ke bawah sudah tidak didukung, tetapi toko aplikasi masih menyajikan versi yang rentan untuk mereka. Pengguna versi itu perlu upgrade Nextcloud atau menghapus aplikasinya.

Langkah 1: cek apakah aplikasinya terpasang

Dari folder instalasi Nextcloud, jalankan perintah occ sebagai pengguna web server:

cd /var/www/nextcloud
sudo -u www-data php occ app:list | grep -i richdocuments

Sesuaikan lokasi folder dan nama pengguna web server (www-data pada Debian dan Ubuntu) dengan instalasi Anda. Pada Docker, awalan perintahnya menjadi:

docker exec -u www-data nama-kontainer php occ app:list | grep -i richdocuments

Hasilnya menampilkan richdocuments (Nextcloud Office) dan, kalau ada, richdocumentscode beserta nomor versinya. Hanya yang kedua yang bermasalah.

Langkah 2: update atau hapus aplikasi

sudo -u www-data php occ app:update richdocumentscode

Kalau Anda tidak membutuhkan editor dokumen bawaan, menghapusnya lebih aman:

sudo -u www-data php occ app:remove richdocumentscode

Versi 26.4.402 dilaporkan bermasalah di sebagian instalasi (gagal start atau gagal membuka dokumen), dan beberapa administrator kembali ke 26.4.303, versi yang disebut advisori sebagai perbaikan. Jika update Anda gagal, laporan terbaru ada di halaman isu proyek di GitHub.

Aplikasi ini berjalan di atas PHP. Sekalian cek apakah PHP server Anda sudah mendapat perbaikan terbaru, seperti dijelaskan di artikel PHP2Shell.

Langkah 3: cari tanda penyusupan

Kalau Nextcloud Anda memakai aplikasi ini sejak sebelum update, periksa tiga hal. Yang pertama, file web shell yang dilaporkan bernama dengan pola shx*.php dan shrf*.php di folder aplikasi:

sudo find /var/www/nextcloud/apps/richdocumentscode -type f \( -name 'shx*.php' -o -name 'shrf*.php' \)

Yang kedua, cari permintaan mencurigakan ke proxy.php di log web server. Contoh untuk Nginx (untuk Apache, ganti jalurnya ke /var/log/apache2/access.log*):

sudo zgrep -h 'proxy.php?status' /var/log/nginx/access.log* | grep -F -e '%2e%2e' -e '$(' -e '${IFS}'

Cakupan log harus mundur minimal sampai 10 September. Yang ketiga, jalankan pengecekan integritas aplikasi, yang akan menandai file baru yang tidak seharusnya ada:

sudo -u www-data php occ integrity:check-app richdocumentscode

Dua administrator dalam laporan itu menemukan masalahnya lewat cara serupa: satu dari peringatan integritas Nextcloud tentang file PHP baru, satu dari email percobaan sudo yang gagal oleh akun web server.

Kalau menemukan file mencurigakan

1. Putus server dari internet atau matikan layanan webnya, lalu simpan salinan log dan disk sebelum dibersihkan.
2. Pulihkan dari cadangan yang dibuat sebelum 10 September, atau pasang ulang dari awal. Membersihkan file satu per satu tidak menjamin tidak ada pintu belakang lain.
3. Ganti semua rahasia yang bisa dibaca akun web server: kata sandi database dan nilai rahasia di config.php, kata sandi dan token untuk layanan yang tersimpan di server, serta file penyimpan kata sandi atau dompet jika ada.
4. Pasang update aplikasi (atau hapus) sebelum server dihubungkan lagi.

Pelajaran untuk yang menjalankan Nextcloud sendiri

• Aplikasi tambahan memperluas permukaan serangan. Pasang hanya yang Anda butuhkan, dan hapus yang tidak dipakai.
• Perbaikan keamanan tidak selalu diumumkan lebih dulu. Dalam kasus ini perbaikannya rilis lebih dari sebulan sebelum CVE terbit, jadi menunda update aplikasi karena "belum ada kabar" berisiko.
• Pantau peringatan integritas Nextcloud dan log akses, bukan hanya menunggu laporan.

Sumber

• The Hacker News: Hackers Backdoor Nextcloud Servers Through Critical Flaw in Collabora's Built-in CODE App (14 Oktober 2026)
• The Hacker News: CISA Flags Two Actively Exploited Critical Flaws in Collabora Online and Arista VeloCloud (24 Oktober 2026)
• Advisori Collabora (GHSA-g3vx-3m76-fghh)

Baca juga: Checklist Keamanan VPS Linux Baru (SSH, Firewall, Update).