นักวิจัยด้านความมั่นคงปลอดภัยไซเบอร์รายงานการตรวจพบการโจมตีเซิร์ฟเวอร์ Nextcloud ผ่านช่องโหว่ระดับวิกฤตในแอปพลิเคชัน Collabora Online – Built-in CODE Server หมายเลข CVE-2026-110447 เปิดโอกาสให้ผู้โจมตีสามารถสั่งรันคำสั่งบนระบบปฏิบัติการจากระยะไกล (Remote Code Execution: RCE) และติดตั้ง Web Shell เพื่อควบคุมเซิร์ฟเวอร์โดยไม่ได้รับอนุญาต รายงานระบุว่าเริ่มพบกิจกรรมการโจมตีตั้งแต่วันที่ 10 กันยายน 2026 โดยผู้โจมตีอาศัยช่องโหว่ดังกล่าวสร้างไฟล์ PHP อันตรายและค้นหาข้อมูลสำคัญภายในระบบ ทั้งนี้ ยังไม่สามารถระบุจำนวนเซิร์ฟเวอร์ที่ได้รับผลกระทบทั้งหมดได้อย่างแน่ชัด

รายละเอียดช่องโหว่และผลกระทบ

ช่องโหว่ CVE-2026-110447 เกิดขึ้นในแอปพลิเคชัน richdocumentscode ซึ่งทำหน้าที่เรียกใช้ Collabora Online Development Edition (CODE) ภายในเซิร์ฟเวอร์ Nextcloud โดยตรง สาเหตุเกิดจากการจัดการคำสั่งในไฟล์ proxy.php ที่ไม่ปลอดภัย ทำให้ผู้โจมตีสามารถส่ง HTTP Request ที่ออกแบบมาเป็นพิเศษไปยัง Endpoint proxy.php?status เพื่อแทรกคำสั่งและสั่งรันบนระบบปฏิบัติการได้ โดยมีเงื่อนไขสำคัญคือเซิร์ฟเวอร์ CODE ต้องอยู่ในสถานะหยุดทำงานและถูกเรียกให้เริ่มต้นใหม่ จากการตรวจสอบพบผู้ดูแลระบบอย่างน้อย 3 รายรายงานเหตุการณ์ที่เกี่ยวข้องกับการบุกรุก โดยมีการติดตั้ง Web Shell เพื่อสั่งรันคำสั่งผ่าน HTTP Request และค้นหาไฟล์สำคัญ เช่น ฐานข้อมูลรหัสผ่าน ไฟล์กระเป๋าเงินดิจิทัล และข้อมูลที่เกี่ยวข้องกับโปรแกรมจัดการรหัสผ่าน นอกจากนี้ ยังพบความผิดปกติที่เกี่ยวข้องกับบัญชี Web Server และความพยายามใช้คำสั่ง sudo

ระบบที่ได้รับผลกระทบ

ช่องโหว่นี้ส่งผลกระทบต่อ Collabora Online – Built-in CODE Server (richdocumentscode) เวอร์ชันก่อน 26.4.303 โดยการติดตั้ง Collabora Online แบบ Standalone รวมถึงการติดตั้งผ่าน Docker, RPM/DEB และ Nextcloud All-in-One ไม่ได้รับผลกระทบตามคำชี้แจงของผู้พัฒนา

NT cyfence ขอแนะนำแนวทางป้องกันและแก้ไข ให้องค์กรที่ใช้งาน Nextcloud ดำเนินการดังนี้

• อัปเดต richdocumentscode เป็นเวอร์ชัน 26.4.303 หรือใหม่กว่า หากไม่จำเป็นต้องใช้งาน Built-in CODE Server ควรถอนการติดตั้งแอปพลิเคชันดังกล่าว
• ตรวจสอบไดเรกทอรี apps/richdocumentscode/ และตำแหน่งที่เกี่ยวข้อง เพื่อค้นหาไฟล์ PHP ที่ไม่รู้จัก โดยเฉพาะไฟล์ที่มีชื่อขึ้นต้นด้วย shx และลงท้ายด้วย .php
• ตรวจสอบ Access Logs และบันทึกเหตุการณ์ย้อนหลังตั้งแต่วันที่ 10 กันยายน 2026 โดยให้ความสำคัญกับคำขอไปยัง proxy.php?status รวมถึงกิจกรรมที่เกี่ยวข้องกับคำสั่ง Shell และ sudo
• หากพบหลักฐานการบุกรุก ให้ตรวจสอบข้อมูลและบัญชีที่ Web Shell สามารถเข้าถึงได้ พิจารณาเปลี่ยนข้อมูลรับรองที่อาจรั่วไหล และดำเนินการตามกระบวนการ Incident Response ขององค์กร
• ตรวจสอบความสมบูรณ์ของไฟล์ระบบ การตั้งค่า และสิทธิ์การเข้าถึง เพื่อให้มั่นใจว่าไม่มี Web Shell หรือช่องทางเข้าถึงระบบที่ผู้โจมตีสร้างไว้หลงเหลืออยู่

เหตุการณ์นี้สะท้อนให้เห็นถึงความเสี่ยงจากช่องโหว่ในแอปพลิเคชันเสริมที่ทำงานบนเซิร์ฟเวอร์ Nextcloud แม้การโจมตีจะมีเงื่อนไขเฉพาะ แต่หากระบบได้รับผลกระทบ ผู้โจมตีอาจสามารถรันคำสั่งและเข้าถึงข้อมูลที่บัญชี Web Server มีสิทธิ์ใช้งานได้ องค์กรจึงควรเร่งตรวจสอบเวอร์ชันของแอปพลิเคชัน อัปเดตแพตช์ และตรวจสอบย้อนหลังเพื่อค้นหาสัญญาณการบุกรุกโดยเร็ว