Nextcloud Collabora CODE Açığı CVE-2026-110447: Sunuculara Web Shell Yerleştiriliyor

Selam arkadaşlar,

Kendi bulutunu kendisi barındıranların gözdesi Nextcloud tarafında can sıkıcı bir durum var. "Collabora Online - Built-in CODE Server" uygulamasındaki (paket adı richdocumentscode) bir komut enjeksiyonu açığı eylül ortasından beri aktif olarak sömürülüyor. Açığa resmi CVE numarası ancak 14 Ekim'de verildi: CVE-2026-110447. Yani saldırganlar yaklaşık bir ay boyunca, çoğu yöneticinin elinde aranabilir bir CVE bile yokken bu açığı kullandı.

Konuda Anlatılacaklar

1. Açık nedir ve kimleri etkiliyor?
   
2. Sahada neler görüldü?
   
3. Yama ile CVE arasındaki bir aylık boşluk
   
4. Sunucunuzu nasıl kontrol edersiniz?
   
5. Temizlik ve sıkılaştırma önerileri
   
6. Kaynaklar
   

Açık Nedir?

CVE kaydındaki tanım kısa ve net: Nextcloud uygulaması olan Collabora Online Built-in CODE Server'ın 26.4.303 öncesi sürümleri, proxy.php dosyasında bir işletim sistemi komut enjeksiyonu içeriyor. Kayıtta açığın Eylül ve Ekim 2026'da vahşi doğada sömürüldüğü de açıkça yazıyor. Zafiyet türü CWE-78, CVSS v4.0 puanı 9.2 (Kritik).

Önemli bir ön koşul var: istismar, gömülü CODE sunucusu çalışmıyorken mümkün oluyor. Bu da yeniden başlatma, güncelleme ya da çökme sonrası gibi durumlar demek. Kimlik doğrulama veya kullanıcı etkileşimi gerekmiyor. Nextcloud forumundaki ilk uyarıyı yazan kullanıcının ifadesiyle sorun Collabora'nın kendisinde değil, gömülü uygulamanın Collabora'yı başlatma biçiminde (PHP exec çağrısı).

Etkilenenler:

• richdocumentscode 26.4.302 ve öncesini kullanan Nextcloud kurulumları
  

Etkilenmeyenler:

• richdocumentscode kurulu olmadan sadece richdocuments kullananlar
  
• Collabora'yı Docker veya Linux dağıtım paketiyle (DEB/RPM) çalıştıranlar
  
• Ayrı kurulmuş, bağımsız Collabora Online sunucuları
  
• Barındırılan Collabora hizmetleri kullananlar
  

BleepingComputer'ın Collabora'ya dayanarak aktardığına göre Nextcloud All-in-One kurulumları da etkilenmiyor.



Sahada Neler Görüldü?

BleepingComputer'ın aktardığı yönetici raporlarına göre saldırılar en az 10 Eylül'e kadar uzanıyor. Saldırganlar proxy.php'ye zararlı istek göndererek komut çalıştırıyor, ardından PHP web shell'leri bırakıyor ve bu shell'ler üzerinden parola veritabanları, parola yöneticisi kalıntıları ve kripto para cüzdanları arıyor. Bazı kullanıcılar fidye yazılımı operatörlerinin de açığı kullandığını iddia etmiş; BleepingComputer bunu bağımsız olarak doğrulayamadığını belirtiyor, ben de doğrulanmış bilgi gibi sunmuyorum.

İtalya'nın ulusal CSIRT'ünün bülteni (CSIRT Toscana tarafından yeniden yayımlandı) ülke içinde yaşanan bir vakayı anlatıyor: Saldırgan web sunucusu kullanıcısının yetkileriyle komut çalıştırmış, üç web shell kurmuş ve yerel bir veritabanına, servis e-posta kutusuna ait kimlik bilgileri ile uygulama anahtarlarını içeren bir yapılandırma dosyasını almış. Bültene göre bulgular, birden fazla aktör tarafından yürütülen ve hâlâ devam eden otomatik bir sömürü kampanyasıyla uyumlu.

Nextcloud forumunda 16 Ekim'de paylaşılan bir başka vakada ise Nextcloud'un bütünlük kontrolü, richdocumentscode dizininde Nx_33143.php adlı fazladan bir dosya yakalamış. Kullanıcının aktardığına göre dosya, GET parametresiyle gelen komutu çalıştıran tek satırlık basit bir arka kapı. Aynı başlıkta daha önceki raporlarda shx* ve shrf* ile başlayan dosya adlarından bahsedildiği de geçiyor; bu isimler forum kullanıcılarının paylaşımı, resmi bir IOC listesi değil.

Bir Aylık Boşluk: Yama Var, CVE Yok

Bu olayı ayrıca ilginç kılan şey zaman çizelgesi. BleepingComputer'ın derlediği tarihler:

• 9 Eylül: Düzeltme commit'lendi.
  
• 10 Eylül: Yöneticilerin raporladığı en erken saldırı izleri.
  
• 11 Eylül: richdocumentscode 26.4.303 yayımlandı.
  
• 3 Ekim: Nextcloud forumunda "hemen güncelleyin" uyarısı paylaşıldı.
  
• 14 Ekim: Güvenlik bildirimi, GitHub advisory ve CVE yayımlandı.
  

Nextcloud, gecikmeyi kullanıcılara güncelleme için zaman tanımakla ve yaygın sömürü görmemiş olmakla açıklamış. Collabora ise gecikmeyi büyük ölçüde GitHub'ın CVE işleme kuyruğundaki yoğunluğa, onu da artan yapay zeka kaynaklı güvenlik raporu hacmine bağlamış. BleepingComputer'ın aktardığı Second Security çalışması da bu tabloyu destekliyor: açık kaynak projelerde yamanın yayımlanmasıyla CVE'nin yayımlanması arasındaki medyan süre ocakta 5,1 gün iken ağustosta 39 güne çıkmış.

Bence buradan çıkarılacak ders şu: "CVE çıkınca bakarım" yaklaşımı artık yetmiyor. Kendi barındırdığınız uygulamaların sürüm notlarını ve topluluk forumlarını takip etmek, en az CVE beslemesi kadar önemli hale geldi.

Sunucunuzu Nasıl Kontrol Edersiniz?

Önce uygulamanın kurulu olup olmadığına ve sürümüne bakın (Nextcloud dizininde, web sunucusu kullanıcısıyla):

Nextcloud'un yerleşik bütünlük kontrolü, forumdaki vakada olduğu gibi fazladan dosyaları yakalayabiliyor:

Uygulama dizininde sizin kurmadığınız PHP dosyalarını listelemek için basit bir arama:
(Yolu kendi kurulumunuza göre değiştirin. Bu komut kesin sonuç vermez, sadece incelenecek adayları çıkarır.)

Web sunucusu ve ters proxy loglarında proxy.php isteklerini 10 Eylül'den bu yana gözden geçirin:

İtalyan CSIRT'ü de aynı yönde öneride bulunuyor: Nextcloud çekirdeğinin ve uygulamaların bütünlüğünü doğrulayın, yetkisiz dosya ve olası web shell'leri arayın, sonuçları web sunucusu, ters proxy ve güvenlik çözümlerinin loglarıyla ilişkilendirin.



Temizlik ve Sıkılaştırma

1. Güncelleyin ya da kaldırın. richdocumentscode'u 26.4.303 veya üstüne yükseltin. Kullanmıyorsanız tamamen kaldırın. Hem Collabora hem İtalyan CSIRT'ü uyarıyor: uygulamayı sadece devre dışı bırakmak yeterli değil.

2. Yama, temizlik değildir. Güncelleme açığı kapatır ama önceden bırakılmış bir web shell'i silmez. Zafiyetli sürümü çalıştırdığınız dönemde CODE sunucusu herhangi bir nedenle durduysa, iz aramadan "tamam" demeyin.

3. Bulgu varsa olay müdahalesi yapın. CSIRT'ün önerisi: etkilenen sistemi izole edin, temizlikten önce delilleri alıp saklayın, kontrolleri diğer instance'lara ve açığa çıkan kimlik bilgileriyle erişilebilen kaynaklara genişletin. Gerekirse sistemi güvenilir kaynaklardan yeniden kurun ve sadece doğrulanmış veriyi geri yükleyin.

4. Sırları döndürün. Web sunucusu kullanıcısının okuyabildiği her şeyi (veritabanı parolası, servis hesapları, uygulama anahtarları, e-posta hesapları) açığa çıkmış kabul edip güvenilir bir ortamdan değiştirin.

5. Desteklenmeyen Nextcloud sürümleri. CSIRT'e göre desteği bitmiş Nextcloud kurulumlarında ya platformu düzeltilmiş bileşenle uyumlu desteklenen bir sürüme yükseltin ya da richdocumentscode'u kaldırın.

Genel sıkılaştırma tarafında da en asgari maddeler: yönetim erişimini VPN arkasına almak, web sunucusu kullanıcısının yapılandırma dosyalarına erişimini kısıtlamak, logları merkezi bir yerde toplamak ve uygulama dosyalarında bütünlük izlemesi kurmak.

Ev labında ya da küçük ofiste Nextcloud çalıştıran çok arkadaşımız var. Gömülü CODE kullanıyor musunuz, yoksa Collabora'yı ayrı container'da mı çalıştırıyorsunuz? Bu olaydan sonra tercihiniz değişti mi, yorumlarda konuşalım.

Kaynaklar

• CVE.org - CVE-2026-110447: https://www.cve.org/CVERecord?id=CVE-2026-110447
  
• GitHub Advisory Database - GHSA-f97p-r72q-64h2: https://github.com/advisories/GHSA-f97p-r72q-64h2
  
• BleepingComputer - Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers: https://www.bleepingcomputer.com/news/se...d-servers/
  
• Nextcloud Community - To Collabora Built-in User: Update ASAP: https://help.nextcloud.com/t/to-collabor...sap/250516
  
• CSIRT Toscana (CSIRT-ITA BL02/261016): https://csirt.regione.toscana.it/nextclo...csirt-ita/
  

Alıntı:Yasal Uyarı: Bu konu yalnızca bilgilendirme ve savunma amaçlıdır. Paylaşılan kontrol ve tespit adımlarını yalnızca sahibi olduğunuz veya yazılı izinle yönettiğiniz sistemlerde uygulayın. İzinsiz erişim, tarama ve sistemlere müdahale, 5237 sayılı Türk Ceza Kanunu'nun 243-245. maddeleri kapsamında suçtur.

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).