"Collabora Online ช่องโหว่รันคำสั่ง CVE-2026-110447 ถูกโจมตีจริง"
"ผู้ดูแล Nextcloud ที่ติดตั้ง richdocumentscode รุ่นก่อน 26.4.303 ควรอัปเดตหรือถอดแอปออกทันที เพราะมีการโจมตีจริงแล้ว"
1-minute summary
- Symptom / problem
- ผู้โจมตีที่ไม่ต้องล็อกอินอาจสั่งรันคำสั่งระบบผ่าน proxy.php ขณะ Built-in CODE Server ไม่ทำงาน
- Who should read
- กระทบแอป Collabora Online - Built-in CODE Server บน Nextcloud รุ่นก่อน 26.4.303 ส่วนเซิร์ฟเวอร์ Collabora Online แบบ standalone ไม่ได้รับผลกระทบ
- Fix in short
- อัปเดต richdocumentscode เป็น 26.4.303 หรือใหม่กว่า หรือถอดแอปออก การ disable อย่างเดียวไม่เพียงพอ
พอดีไล่ฟีด CISA KEV เจอประกาศช่องโหว่ CVE-2026-110447 ใน Collabora Online - Built-in CODE Server ที่ติดตั้งเป็นแอปบน Nextcloud เรื่องนี้มีการโจมตีจริงแล้ว CISA เพิ่มเข้ารายการเมื่อ 23 ตุลาคม 2026 และกำหนดให้หน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้ข้อกำหนดแก้ภายใน 26 ตุลาคม 2026 ผู้ดูแลระบบทั่วไปที่ติดตั้งแอปนี้ควรตรวจรุ่นและเร่งแก้ด้วย (ข้อมูล KEV จาก CISA)
เกิดอะไรขึ้น
ช่องโหว่เป็น OS command injection หรือการแทรกคำสั่งระบบปฏิบัติการ ผ่านไฟล์ proxy.php ของแอป richdocumentscode ผู้โจมตีส่งคำขอจากระยะไกลแล้วทำให้ระบบรันคำสั่งในสิทธิ์ของบัญชีเว็บเซิร์ฟเวอร์ได้ โดยไม่ต้องมีบัญชีผู้ใช้และไม่ต้องรอให้ผู้ใช้กดอะไร ผู้พัฒนาประเมินความรุนแรงเป็น Critical คะแนน CVSS 4.0 เท่ากับ 9.2 (รายละเอียด CVE, ประกาศ Collabora)
เงื่อนไขสำคัญคือ Built-in CODE Server ต้องไม่ทำงาน เช่น หลัง container เริ่มใหม่ ระหว่างอัปเกรด หรือหลังโปรเซสล้ม แม้จะเปิดเอกสารได้ตามปกติในขณะตรวจ ก็ยังต้องเช็กรุ่นแอป คำสั่งที่ผู้โจมตีรันได้มีสิทธิ์เท่าบัญชีเว็บเซิร์ฟเวอร์ รวมถึงเข้าถึงไฟล์และข้อมูลที่บัญชีนั้นมีสิทธิ์ ไม่ได้หมายความว่าจะได้สิทธิ์ root ทุกกรณี (รายละเอียด CVE, ประกาศ Collabora)
ใครโดนและรุ่นที่แก้
จุดที่ต้องตรวจคือรุ่นของแอป Built-in CODE Server ไม่ใช่ดูเฉพาะเลขรุ่น Nextcloud ตัวหลัก ประกาศระบุขอบเขตไว้ดังนี้ (ประกาศ Collabora)
| ผลิตภัณฑ์หรือรูปแบบติดตั้ง | รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้หรือแนวทาง |
|---|---|---|
แอป richdocumentscode บน Nextcloud |
ต่ำกว่า 26.4.303 | อัปเดตเป็น 26.4.303 หรือใหม่กว่า |
| Nextcloud รุ่นหมดระยะสนับสนุนที่ติดตั้งแอปนี้ | Nextcloud 29 หรือต่ำกว่า ที่มี richdocumentscode ต่ำกว่า 26.4.303 |
อัปเกรด Nextcloud เพื่ออัปเดตแอป หรือถอดแอปออก |
| Collabora Online แบบ standalone | ไม่ได้รับผลกระทบจากช่องโหว่นี้ | ไม่มีรุ่นแก้ที่ต้องติดตั้งสำหรับ CVE นี้ |
ช่องโหว่นี้เป็นคนละเส้นทางกับ CVE-2025-66208 และแพตช์ของช่องโหว่เดิมไม่ป้องกัน CVE-2026-110447 การเคยแก้เรื่องเก่าไว้แล้วเลยยังต้องตรวจ richdocumentscode ซ้ำตามรุ่นที่ระบุในตาราง (รายละเอียด CVE, ประกาศ Collabora)
ต้องทำอะไร
ตรวจรายการแอปที่ติดตั้งบน Nextcloud แล้วอัปเดต richdocumentscode เป็น 26.4.303 หรือใหม่กว่า หากไม่ใช้งาน ให้ถอดแอปออกตามแนวทางผู้พัฒนา สำหรับ Nextcloud 29 หรือต่ำกว่าที่หมดระยะสนับสนุน ให้เลือกอัปเกรดตัว Nextcloud หรือถอดแอปนี้ออก อย่าฝืนใช้งานรุ่นที่มีช่องโหว่ต่อเพียงเพราะยังเปิดเอกสารได้ (ประกาศ Collabora)
ผู้พัฒนาระบุว่าการ disable แอปไม่เพียงพอ ต้องอัปเดตเป็นรุ่นที่แก้หรือถอดแอปออก
หลังแก้ให้ตรวจเลขรุ่นแอปอีกครั้ง แล้วทดสอบเปิดเอกสารตามปกติ หากเคยติดตั้งแอปรุ่นที่มีช่องโหว่ ควรตรวจ access log และหาไฟล์ PHP ที่เพิ่มมาผิดปกติด้วย กระทู้ที่เชื่อมจาก CVE มีรายงานพบ web shell บนระบบที่ถูกโจมตี การอัปเดตแอปไม่ได้ลบสิ่งที่ผู้โจมตีอาจวางไว้ก่อนหน้า การตรวจร่องรอยนี้เป็นคำแนะนำเพิ่มเติมจากการลงแพตช์ (กระทู้แจ้งเตือนใน Nextcloud)
ส่วนตัวผมมองว่าผู้ใช้ Built-in CODE Server รุ่นที่กระทบควรเร่งแพตช์ทันที เพราะมีการโจมตีจริงแล้ว ที่มา: CVE-2026-110447 และ ประกาศความปลอดภัย Collabora หากมีรายละเอียดเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first