Nextcloud'un Collabora CODE eklentisindeki kritik açık, eylül ayından bu yana sunuculara arka kapı yerleştirmek için kullanılıyor. CISA açığı aktif sömürülen açıklar kataloğuna ekledi.
Nextcloud tabanlı dosya paylaşım ve kurumsal bulut sunucularında kullanılan Collabora Online – Built-in CODE Server eklentisindeki kritik bir güvenlik açığı, eylül ayından bu yana saldırganlar tarafından aktif olarak kullanılıyor. CVE-2026-110447 kodlu açık, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA tarafından 23 Ekim 2026'da aktif sömürülen açıklar kataloğuna (KEV) eklendi. The Hacker News'in aktardığı CVSS puanı 9.2.
Açık, eklentinin kendi içinde çalıştırdığı belge sunucusunu başlatma mekanizmasında bulunuyor. BleepingComputer'ın 15 Ekim tarihli haberine göre, gömülü CODE sunucusu herhangi bir nedenle durduğunda — sunucu yeniden başlatıldığında, güncelleme yapıldığında veya servis çöktüğünde — proxy.php adresine gönderilen özel hazırlanmış bir istek, web sunucusu kullanıcısının yetkileriyle işletim sistemi komutu çalıştırabiliyor. Saldırı için kullanıcı adı, parola veya herhangi bir kullanıcı etkileşimi gerekmiyor.
Saldırganlar sunucuda ne arıyor?
Sistem yöneticilerinin bildirimlerine dayanan eSecurity Planet analizine göre saldırganlar, eklentinin dizinine PHP tabanlı arka kapı dosyaları (web shell) bırakıyor ve ardından sunucuda parola veritabanları, parola yöneticisi dosyaları ve kripto para cüzdanı verileri arıyor. Bildirilen izler arasında eklenti dizininde beklenmeyen PHP dosyaları, proxy.php adresine giden olağandışı istekler ve web sunucusu kullanıcısına ait başarısız sudo denemeleri yer alıyor. BleepingComputer, saldırıların 10 Eylül 2026'ya kadar geri gittiğini bildiriyor.
Asıl rahatsız edici nokta da burada. Açık, 11 Eylül 2026'da yayımlanan 26.4.303 sürümüyle kapatılmıştı; ancak güvenlik bülteni 14 Ekim'de duyuruldu. Yani birçok kurum, yamanın var olduğunu bilmeden yaklaşık dört hafta boyunca sömürülebilir bir sunucu çalıştırdı.
Türkiye ve KOBİ tarafındaki karşılığı
Nextcloud, Türkiye'de birçok şirkette maliyet avantajı ve verinin şirket içinde kalması gerekçesiyle kendi sunucusunda barındırılan bir dosya paylaşım çözümü olarak tercih ediliyor. Bu kurulumlar çoğu zaman tek bir sunucuda, sınırlı kayıt takibiyle ve güncellemeleri elle yapılacak şekilde çalışıyor. Sorun da buradan doğuyor: Nextcloud eklenti güncellemeleri uygulama mağazası üzerinden işletim sisteminden ayrı yönetildiği için, sunucu yamaları düzenli geçilse bile bu bileşen geride kalabiliyor.
KVKK tarafı tabloyu daha da ağırlaştırıyor. Dosya paylaşım sunucusu çoğu şirkette sözleşmelerin, özlük dosyalarının, müşteri listelerinin ve mali belgelerin durduğu yerdir. Böyle bir sunucuya yetkisiz erişim, 6698 sayılı Kanun kapsamında veri ihlali bildirimi yükümlülüğü doğurabilir. Üstelik yama geçmek tek başına yetmiyor: eSecurity Planet'in vurguladığı gibi, güncelleme saldırganın halihazırda elde ettiği erişimi ortadan kaldırmıyor.
Kamer Bilişim olarak ne öneriyoruz?
- Eklenti sürümünü bugün doğrulayın. Nextcloud yönetim panelinde richdocumentscode sürümünün 26.4.303 veya üzeri olduğunu kontrol edin. Eklentiye ihtiyacınız yoksa devre dışı bırakmak yeterli değil; üreticinin uyarısı doğrultusunda tamamen kaldırın. Bağımsız Collabora sunucuları, Docker ve RPM/DEB kurulumları ile Nextcloud All-in-One dağıtımları bu açıktan etkilenmiyor.
- Geriye dönük iz araması yapın. Erişim kayıtlarını en az 10 Eylül'e kadar geriye dönük inceleyin; eklenti dizininde tanımadığınız PHP dosyalarını ve web sunucusu kullanıcısına ait başarısız sudo denemelerini arayın. İz bulunursa sıra yamada değil, olay müdahalesindedir.
- Dosya sunucusunu doğrudan internete açmayın. Yönetim arayüzlerini güvenlik duvarı arkasına alın, erişimi VPN veya IP kısıtlamasıyla sınırlayın ve yedeklerin sunucudan ayrı bir kopyasını tutun. Sunucuyla aynı ağda duran bir yedek, fidye senaryosunda yedek sayılmaz.
Nextcloud, dosya sunucusu veya kurumsal bulut kurulumunuzun bu açıktan etkilenip etkilenmediğinden emin değilseniz, sürüm kontrolü ve kayıt incelemesi için iletişim sayfamız üzerinden bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz.
Kaynak: BleepingComputer, The Hacker News, eSecurity Planet, CISA
Kaynak: BleepingComputer