Peretas Eksploitasi Celah RCE Collabora untuk Menanam Backdoor di Server Nextcloud
Pelaku ancaman siber dilaporkan tengah mengeksploitasi secara aktif sebuah celah keamanan eksekusi perintah (command execution) berstatus kritis yang kini dilacak dengan kode identifikasi CVE-2026-110447 pada aplikasi Collabora Online – Built-in CODE Server (richdocumentscode) untuk ekosistem Nextcloud.
Berdasarkan sejumlah laporan dari para administrator sistem, gelombang serangan ini terindikasi telah dimulai sejak pertengahan September lalu, atau sekitar satu bulan sebelum buletin keamanan resmi, advisory GitHub, serta publikasi nomor CVE resmi diterbitkan.
Kerentanan CVE-2026-110447 berdampak pada paket aplikasi richdocumentscode sebelum versi 26.4.303. Celah ini bersarang pada mekanisme internal aplikasi Nextcloud saat memulai (starting) layanan bundled server Collabora. Pihak Collabora menegaskan bahwa kerentanan ini hanya memengaruhi aplikasi built-in CODE server yang bersifat opsional. Sementara itu, instalasi Collabora Online mandiri (standalone), deployment berbasis Docker, paket RPM/DEB, serta instalasi Nextcloud All-in-One dipastikan aman dan sama sekali tidak terdampak.
Dalam melancarkan aksinya, penyerang mengirimkan permintaan berbahaya (malicious request) ke endpoint proxy.php milik aplikasi tersebut guna memicu terjadinya OS command injection. Syarat utama agar eksploitasi ini berhasil adalah layanan built-in CODE server harus sedang berada dalam kondisi berhenti (stopped)—misalnya sesaat setelah proses restart, upgrade, atau ketika layanan mengalami crash. Serangan ini tergolong sangat berbahaya karena sama sekali tidak membutuhkan proses autentikasi maupun interaksi dari pengguna.
Penanaman PHP Webshell dan Pencurian Aset Kripto
Sejumlah administrator sistem yang terdampak aktivitas berbahaya ini melaporkan adanya rentetan serangan terhadap berbagai endpoint mereka yang tercatat sudah berlangsung sejak 10 September 2026.
Menurut laporan di lapangan, setelah berhasil menyusup ke dalam server, peretas langsung menanamkan PHP webshell sebagai akses backdoor. Akses tersebut kemudian dimanfaatkan pelaku untuk memindai dan mencari basis data kata sandi (password databases), artefak aplikasi pengelola kata sandi (password manager), hingga dompet mata uang kripto (cryptocurrency wallets). Beberapa pengguna juga melaporkan bahwa kelompok operator ransomware turut memanfaatkan celah ini, meskipun klaim tersebut belum dapat dikonfirmasi secara independen.
Guna mengamankan infrastruktur, para administrator sistem sangat disarankan untuk segera memperbarui aplikasi richdocumentscode ke versi 26.4.303 atau yang lebih baru, atau menghapus aplikasi server tersebut sepenuhnya jika memang tidak digunakan. Pihak pengembang memperingatkan dengan tegas bahwa sekadar menonaktifkan (disabling) aplikasi tersebut di panel Nextcloud tidak cukup untuk menutup celah keamanan ini.
Selain peringatan awal dari para pengelola proyek pada pertengahan September, peringatan komunitas sebenarnya juga telah dipublikasikan pada 3 Oktober lalu yang mendesak para administrator untuk segera melakukan pembaruan mengingat maraknya eksploitasi aktif. Namun, ketiadaan nomor identifikasi CVE resmi pada saat itu membuat banyak administrator kesulitan mengidentifikasi masalah secara akurat dan menerapkan pertahanan yang efisien.
Keterlambatan Publikasi CVE Akibat Banjir Laporan Berbasis AI
Fenomena jeda waktu yang cukup panjang antara rilis perbaikan dan pengumuman resmi ini turut disoroti dalam sebuah studi terbaru dari perusahaan keamanan siber Second Security. Studi tersebut menggambarkan makin melebarnya kesenjangan waktu antara penambalan kode (security fixes) dengan notifikasi kerentanan formal.
Melalui analisis terhadap berbagai kasus nyata pada proyek open-source, Second Security menemukan bahwa rata-rata jeda waktu (median interval) antara rilis perbaikan publik dan publikasi CVE melonjak drastis menjadi 39 hari pada Agustus 2026, naik tajam dari rata-rata 5,1 hari pada Januari 2026. Para peneliti menilai bahwa lonjakan volume penemuan celah keamanan yang dibantu oleh kecerdasan buatan (AI-assisted vulnerability discoveries) telah membebani antrean pemrosesan CVE dan memicu keterlambatan publikasi secara luas.
Di sisi lain, dalam banyak kasus, peneliti mendapati bahwa kode exploit publik justru sudah beredar secara daring hanya dalam hitungan jam setelah perbaikan keamanan dirilis ke repositori, atau beberapa hari sebelum nomor CVE terkait diterbitkan. Second Security mencatat bahwa pemanfaatan tools berbasis AI kini sangat memudahkan para peretas untuk menganalisis kode tambalan (patch diffing) dan menghasilkan exploit yang berfungsi penuh dalam waktu singkat.
Pada kasus Collabora ini, perbaikan kode sebenarnya telah di-commit pada 9 September dan versi 26.4.303 langsung dirilis pada 11 September 2026. Namun, buletin advisory resmi beserta nomor CVE baru diterbitkan pada 14 Oktober 2026—menyisakan jeda waktu lebih dari empat minggu.
Menanggapi masalah ini, pihak Nextcloud menyatakan bahwa Collabora telah melaporkan celah tersebut pada pertengahan September dan pembaruan aplikasi langsung disediakan melalui toko aplikasi resmi mereka. Nextcloud beralasan bahwa penundaan pengumuman publik tersebut dilakukan untuk memberikan waktu bagi para pengguna agar memperbarui sistem mereka terlebih dahulu, serta mengklaim belum melihat adanya eksploitasi berskala masif. Sementara itu, pihak Collabora melalui unggahan blog resminya menjelaskan bahwa keterlambatan pengumuman ini terutama disebabkan oleh penumpukan antrean (backlog) pemrosesan CVE di GitHub, yang saat ini tengah kewalahan menangani lonjakan laporan keamanan yang dihasilkan oleh sistem AI.
Sumber: Collabora Blog
