"Collabora Online ช่องโหว่รันคำสั่ง CVE-2026-110447 ถูกโจมตีจริง"
"ผู้ดูแล Nextcloud ที่ติดตั้ง richdocumentscode รุ่นก่อน 26.4.303 ควรอัปเดตหรือถอดแอปออกทันที เพราะมีการโจมตีจริงแล้ว"
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้โจมตีที่ไม่ต้องล็อกอินอาจสั่งรันคำสั่งระบบผ่าน proxy.php ขณะ Built-in CODE Server ไม่ทำงาน
- ใครควรอ่าน
- กระทบแอป Collabora Online - Built-in CODE Server บน Nextcloud รุ่นก่อน 26.4.303 ส่วนเซิร์ฟเวอร์ Collabora Online แบบ standalone ไม่ได้รับผลกระทบ
- ทางแก้แบบสั้น
- อัปเดต richdocumentscode เป็น 26.4.303 หรือใหม่กว่า หรือถอดแอปออก การ disable อย่างเดียวไม่เพียงพอ
พอดีไล่ฟีด CISA KEV เจอประกาศช่องโหว่ CVE-2026-110447 ใน Collabora Online - Built-in CODE Server ที่ติดตั้งเป็นแอปบน Nextcloud เรื่องนี้มีการโจมตีจริงแล้ว CISA เพิ่มเข้ารายการเมื่อ 23 ตุลาคม 2026 และกำหนดให้หน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้ข้อกำหนดแก้ภายใน 26 ตุลาคม 2026 ผู้ดูแลระบบทั่วไปที่ติดตั้งแอปนี้ควรตรวจรุ่นและเร่งแก้ด้วย (ข้อมูล KEV จาก CISA)
เกิดอะไรขึ้น
ช่องโหว่เป็น OS command injection หรือการแทรกคำสั่งระบบปฏิบัติการ ผ่านไฟล์ proxy.php ของแอป richdocumentscode ผู้โจมตีส่งคำขอจากระยะไกลแล้วทำให้ระบบรันคำสั่งในสิทธิ์ของบัญชีเว็บเซิร์ฟเวอร์ได้ โดยไม่ต้องมีบัญชีผู้ใช้และไม่ต้องรอให้ผู้ใช้กดอะไร ผู้พัฒนาประเมินความรุนแรงเป็น Critical คะแนน CVSS 4.0 เท่ากับ 9.2 (รายละเอียด CVE, ประกาศ Collabora)
เงื่อนไขสำคัญคือ Built-in CODE Server ต้องไม่ทำงาน เช่น หลัง container เริ่มใหม่ ระหว่างอัปเกรด หรือหลังโปรเซสล้ม แม้จะเปิดเอกสารได้ตามปกติในขณะตรวจ ก็ยังต้องเช็กรุ่นแอป คำสั่งที่ผู้โจมตีรันได้มีสิทธิ์เท่าบัญชีเว็บเซิร์ฟเวอร์ รวมถึงเข้าถึงไฟล์และข้อมูลที่บัญชีนั้นมีสิทธิ์ ไม่ได้หมายความว่าจะได้สิทธิ์ root ทุกกรณี (รายละเอียด CVE, ประกาศ Collabora)
ใครโดนและรุ่นที่แก้
จุดที่ต้องตรวจคือรุ่นของแอป Built-in CODE Server ไม่ใช่ดูเฉพาะเลขรุ่น Nextcloud ตัวหลัก ประกาศระบุขอบเขตไว้ดังนี้ (ประกาศ Collabora)
| ผลิตภัณฑ์หรือรูปแบบติดตั้ง | รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้หรือแนวทาง |
|---|---|---|
แอป richdocumentscode บน Nextcloud |
ต่ำกว่า 26.4.303 | อัปเดตเป็น 26.4.303 หรือใหม่กว่า |
| Nextcloud รุ่นหมดระยะสนับสนุนที่ติดตั้งแอปนี้ | Nextcloud 29 หรือต่ำกว่า ที่มี richdocumentscode ต่ำกว่า 26.4.303 |
อัปเกรด Nextcloud เพื่ออัปเดตแอป หรือถอดแอปออก |
| Collabora Online แบบ standalone | ไม่ได้รับผลกระทบจากช่องโหว่นี้ | ไม่มีรุ่นแก้ที่ต้องติดตั้งสำหรับ CVE นี้ |
ช่องโหว่นี้เป็นคนละเส้นทางกับ CVE-2025-66208 และแพตช์ของช่องโหว่เดิมไม่ป้องกัน CVE-2026-110447 การเคยแก้เรื่องเก่าไว้แล้วเลยยังต้องตรวจ richdocumentscode ซ้ำตามรุ่นที่ระบุในตาราง (รายละเอียด CVE, ประกาศ Collabora)
ต้องทำอะไร
ตรวจรายการแอปที่ติดตั้งบน Nextcloud แล้วอัปเดต richdocumentscode เป็น 26.4.303 หรือใหม่กว่า หากไม่ใช้งาน ให้ถอดแอปออกตามแนวทางผู้พัฒนา สำหรับ Nextcloud 29 หรือต่ำกว่าที่หมดระยะสนับสนุน ให้เลือกอัปเกรดตัว Nextcloud หรือถอดแอปนี้ออก อย่าฝืนใช้งานรุ่นที่มีช่องโหว่ต่อเพียงเพราะยังเปิดเอกสารได้ (ประกาศ Collabora)
ผู้พัฒนาระบุว่าการ disable แอปไม่เพียงพอ ต้องอัปเดตเป็นรุ่นที่แก้หรือถอดแอปออก
หลังแก้ให้ตรวจเลขรุ่นแอปอีกครั้ง แล้วทดสอบเปิดเอกสารตามปกติ หากเคยติดตั้งแอปรุ่นที่มีช่องโหว่ ควรตรวจ access log และหาไฟล์ PHP ที่เพิ่มมาผิดปกติด้วย กระทู้ที่เชื่อมจาก CVE มีรายงานพบ web shell บนระบบที่ถูกโจมตี การอัปเดตแอปไม่ได้ลบสิ่งที่ผู้โจมตีอาจวางไว้ก่อนหน้า การตรวจร่องรอยนี้เป็นคำแนะนำเพิ่มเติมจากการลงแพตช์ (กระทู้แจ้งเตือนใน Nextcloud)
ส่วนตัวผมมองว่าผู้ใช้ Built-in CODE Server รุ่นที่กระทบควรเร่งแพตช์ทันที เพราะมีการโจมตีจริงแล้ว ที่มา: CVE-2026-110447 และ ประกาศความปลอดภัย Collabora หากมีรายละเอียดเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย