Cảnh báo lỗ hổng CVE-2026-110447: RCE nghiêm trọng trên Nextcloud

• Lỗ hổng nghiêm trọng: CVE-2026-110447 với điểm CVSS 9.2 cho phép thực thi mã từ xa (RCE).
• Cơ chế tấn công: Lợi dụng lỗi tiêm lệnh hệ điều hành (CWE-78) trong file proxy.php của ứng dụng Collabora Online.
• Điều kiện khai thác: Kẻ tấn công không cần tài khoản, nhưng lỗ hổng chỉ kích hoạt khi dịch vụ CODE server không hoạt động.
• Khuyến nghị: Cập nhật ngay ứng dụng richdocumentscode lên phiên bản 26.4.303 hoặc cao hơn.

Tổng quan về lỗ hổng CVE-2026-110447

Các nhà nghiên cứu bảo mật vừa phát đi cảnh báo khẩn cấp về một lỗ hổng bảo mật nghiêm trọng ảnh hưởng đến ứng dụng Collabora Online Built-in CODE Server dành cho nền tảng Nextcloud. Lỗ hổng này, được định danh là CVE-2026-110447, cho phép những kẻ tấn công từ xa thực thi các lệnh hệ điều hành tùy ý mà không cần thông qua bất kỳ bước xác thực nào.

Với điểm số CVSS v4 là 9.2, đây là một mối đe dọa cực kỳ nguy hiểm đối với các hệ thống lưu trữ đám mây cá nhân và doanh nghiệp. Theo các báo cáo kỹ thuật, lỗ hổng này đã bị khai thác tích cực trong thực tế vào tháng 9 và tháng 10 năm 2026, với nhiều trường hợp ghi nhận sự xuất hiện của các web shell trên máy chủ bị xâm nhập.

Phân tích kỹ thuật và cơ chế khai thác

Lỗ hổng nằm trong tệp tin proxy.php, một thành phần cốt lõi của ứng dụng chịu trách nhiệm vận hành máy chủ tài liệu Collabora bên trong môi trường triển khai Nextcloud. Về bản chất, đây là lỗi CWE-78 (Operating System Command Injection), nơi các tham số đầu vào không được kiểm tra tính hợp lệ trước khi được truyền vào các hàm thực thi lệnh của hệ điều hành.

Kẻ tấn công có thể gửi một yêu cầu HTTP được chế tạo đặc biệt để kích hoạt việc thực thi lệnh với quyền hạn của người dùng chạy dịch vụ web (web server user). Mặc dù không trực tiếp chiếm quyền root, nhưng việc thực thi lệnh dưới quyền web server vẫn đủ để kẻ tấn công duy trì sự hiện diện, đánh cắp dữ liệu hoặc thực hiện các hành vi di chuyển ngang (lateral movement) trong mạng nội bộ.

Điều kiện kích hoạt đặc thù

Một điểm đáng chú ý trong quá trình phân tích là lỗ hổng này có một điều kiện kích hoạt khá đặc thù. Việc khai thác chỉ thành công khi dịch vụ CODE server không ở trạng thái hoạt động (không chạy) tại thời điểm yêu cầu độc hại được gửi đến. Điều này thường xảy ra trong các kịch bản như:

• Quá trình khởi động lại container (container restart).
• Trong giai đoạn cập nhật phần mềm (upgrade).
• Sau khi dịch vụ bị treo hoặc gặp sự cố (crash).

Khoảng thời gian bảo trì định kỳ này vô tình tạo ra một "cửa sổ tấn công" (attack window) mà kẻ tấn công có thể lợi dụng để chèn mã độc vào hệ thống.

Hướng dẫn phòng thủ và khắc phục

Để bảo vệ hệ thống trước các cuộc tấn công khai thác CVE-2026-110447, các quản trị viên hệ thống cần thực hiện ngay các bước sau đây:

• Cập nhật phần mềm: Nâng cấp ứng dụng richdocumentscode lên phiên bản 26.4.303 hoặc mới hơn. Đây là biện pháp triệt để nhất để đóng lại điểm vào của lỗ hổng.
• Kiểm tra dấu hiệu xâm nhập: Việc cập nhật bản vá chỉ ngăn chặn các cuộc tấn công mới. Quản trị viên cần rà soát toàn bộ hệ thống để tìm kiếm các tệp tin PHP bất thường hoặc các web shell đã được cài đặt trước đó.
• Đối với phiên bản cũ: Nếu đang sử dụng Nextcloud phiên bản 29 hoặc cũ hơn (đã hết vòng đời hỗ trợ), người dùng bắt buộc phải nâng cấp nền tảng Nextcloud hoặc gỡ bỏ hoàn toàn ứng dụng bị ảnh hưởng.

⚠️ Cảnh báo quan trọng: Việc chỉ tắt ứng dụng (disable) mà không cập nhật hoặc gỡ bỏ hoàn toàn không đảm bảo an toàn trước các yêu cầu khai thác đã được gửi đến hệ thống. Hãy luôn kiểm tra log truy cập để phát hiện các hành vi bất thường.

Các chuyên gia an ninh mạng nhấn mạnh rằng, không nên nhầm lẫn lỗ hổng này với CVE-2025-66208. Việc áp dụng bản vá cho lỗ hổng cũ không có tác dụng ngăn chặn cuộc tấn công hiện tại. Sự phối hợp giữa việc cập nhật phần mềm và giám sát chặt chẽ các tệp tin hệ thống là chìa khóa để đảm bảo an toàn cho hạ tầng Nextcloud.