מי שמריץ Nextcloud ורוצה לערוך מסמכים בתוך הדפדפן מתקין לרוב את האפליקציה richdocumentscode, שהיא ה-Built-in CODE Server של Collabora Online. בגרסאות שלפני 26.4.303 יש בה חולשה שמאפשרת לתוקף להריץ פקודות על השרת, והרשומה אומרת במפורש שהיא נוצלה בשטח בספטמבר ובאוקטובר 2026. הציון הוא 9.2 מתוך 10 בסולם CVSS 4.0.

מה החולשה?

כשיישום אינטרנט צריך לבצע משהו במערכת ההפעלה שמתחתיו, הוא בונה שורת פקודה ומעביר אותה להרצה. אם חלק מהשורה מורכב מקלט שהגיע מבחוץ ולא סונן, מי ששולח את הקלט יכול לתפור לתוכה פקודה נוספת משלו. המערכת תריץ את שתיהן, כי מבחינתה זאת שורה אחת שהיישום ביקש להריץ. לכשל הזה קוראים הזרקת פקודות למערכת ההפעלה, OS Command Injection, והסיווג הרשמי הוא CWE-78.

כאן הכשל יושב בקובץ proxy.php. הרשומה מוסיפה פרט שמגדיר את כל ההיקף: הוא נפתח כששרת ה-CODE אינו רץ, למשל מיד אחרי הפעלה מחדש של המוצר. כלומר זה אינו חלון פתוח כל הזמן אלא מצב שנוצר ברגעים מסוימים בחיי המערכת, וגם הדירוג מסמן את זה ומציין שלניצול יש דרישות נוספות מעבר לגישה עצמה.

מה שכן, רגעים כאלה חוזרים. כל עדכון, כל אתחול של השרת וכל קריסה של התהליך יוצרים אותם מחדש, וזה מספיק כדי שהחולשה תהיה שימושית לתוקף שמנסה שוב ושוב.

ושווה להבין מה המשמעות של הרצת פקודות דווקא בשרת כזה. Nextcloud הוא שרת הקבצים של מי שמתקין אותו, וההרשאות שבהן היישום רץ הן ההרשאות שהפקודה של התוקף תקבל. הדירוג מסמן פגיעה גבוהה בסודיות, בשלמות ובזמינות, שלושתן יחד.

מי מושפע?

הרשומה מגדירה את הטווח בדיוק: Collabora Online Built-in CODE Server בגרסאות שלפני 26.4.303, כלומר האפליקציה richdocumentscode בתוך Nextcloud.

וחשוב כאן לא פחות מי אינו מושפע. הרשומה אומרת במפורש שהחולשה אינה קיימת בשרתי Collabora Online עצמאיים, ושרק ההתקנה שמריצה את ה-CODE Server המשולב נמצאת בבעיה. מי שמריץ Collabora כשרת נפרד יכול לעצור את הקריאה כאן. הרשומה גם מבקשת לא להתבלבל עם CVE-2025-66208, שהיא חולשה אחרת באותו מוצר.

בישראל Nextcloud מופיע בעיקר אצל מי שבחר להחזיק את הקבצים שלו על חומרה משלו במקום בשירות מסחרי: עסקים קטנים, צוותי פיתוח, מכוני מחקר ואנשים פרטיים שמקפידים על זה. זה אינו קהל רחב כמו משתמשי דפדפן, אבל הוא קהל שמתחזק את השרת בעצמו, ולכן אין כאן ספק שיעדכן ברקע במקומו.

האם מנוצלת בפועל?

כן, ולפי הרשומה עוד לפני שפורסמה. הטקסט של הרשומה קובע שהחולשה נוצלה בשטח בספטמבר ובאוקטובר 2026, והיא עצמה פורסמה רק ב-14 באוקטובר 2026. כלומר בזמן שהחולשה נוצלה, מי שהריץ את האפליקציה לא ידע עליה.

נכון לעכשיו החולשה אינה מופיעה בקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שמרכז חולשות שיש עדות לשימוש אמיתי בהן. זאת אינה סתירה ואין בה הקלה: הקטלוג מתעדכן בקצב שלו, והקביעה על ניצול בשטח כאן מגיעה מהרשומה עצמה.

הדיווחים על המקרה מופיעים בדף הבעיה אצל המפתחים ובפורום הקהילה של Nextcloud, שם גם נקראו המשתמשים לעדכן בהקדם.

מה עושים?

1. בדקו אם מותקנת אצלכם האפליקציה richdocumentscode. בממשק הניהול של Nextcloud היא מופיעה ברשימת האפליקציות בשם Collabora Online Built-in CODE Server, ולצידה מספר הגרסה.
2. אם הגרסה נמוכה מ-26.4.303, עדכנו אותה. באותו מסך מופיע כפתור עדכון לכל אפליקציה שיש לה גרסה חדשה יותר, ואין צורך בעדכון של Nextcloud כולו.
3. אם אתם מריצים Collabora כשרת עצמאי ולא כאפליקציה המשולבת, החולשה אינה נוגעת לכם ואין מה לשנות. ודאו רק שזה אכן המצב ושאין בנוסף גם אפליקציה משולבת שהותקנה פעם ונשכחה.
4. ומכיוון שמדובר בחולשה שנוצלה בשטח שבועות לפני שהתפרסמה, עדכון אינו סוף הבדיקה. חפשו בשרת קובצי PHP שלא אתם יצרתם, בעיקר בתוך תיקיות האפליקציות, ועברו על לוג הגישה של שרת האינטרנט בחיפוש בקשות ל-proxy.php שאינן מתאימות לשימוש רגיל. אם מצאתם משהו, החליפו את הסיסמאות ואת ה-token-ים של המשתמשים במערכת.