CSIRT Komdigi

Klaim CVE-2026-110447 pada Collabora–Nextcloud: Risiko Command Injection dan Validasi

Peringatan Ancaman • Pengarang : RTW • 24 Okt 2026 23:49

Kerentanan keamanan serius ditemukan pada Collabora Online – Built-in CODE Server, aplikasi yang memungkinkan pengguna Nextcloud mengedit dokumen secara langsung melalui browser. Celah ini memungkinkan penyerang menjalankan perintah sistem dari jarak jauh tanpa autentikasi dalam kondisi tertentu.

Kerentanan yang diidentifikasi sebagai CVE-2026-110447 ini diklasifikasikan sebagai Critical dengan skor CVSS v4.0 9.2. Celah tersebut termasuk kategori OS Command Injection (CWE-78) dan telah dilaporkan dieksploitasi secara aktif pada September hingga Oktober 2026.

Tingkat ancaman semakin meningkat setelah Cybersecurity and Infrastructure Security Agency (CISA) Amerika Serikat memasukkan CVE-2026-110447 ke dalam katalog Known Exploited Vulnerabilities (KEV) pada 23 Oktober 2026.

Bagi organisasi yang menggunakan Nextcloud sebagai platform kolaborasi dan pengelolaan dokumen, temuan ini perlu mendapat perhatian serius karena eksploitasi yang berhasil berpotensi membuka akses tidak sah terhadap sistem dan informasi organisasi.

Apa Itu CVE-2026-110447?

CVE-2026-110447 merupakan kerentanan OS Command Injection pada komponen proxy.php di aplikasi Collabora Online – Built-in CODE Server (richdocumentscode), yang digunakan sebagai integrasi penyuntingan dokumen pada Nextcloud.

Menurut advisory resmi Collabora, kerentanan dapat memungkinkan penyerang mengirimkan HTTP request yang memicu eksekusi perintah pada sistem operasi dengan hak akses pengguna web server.

Keunikan kerentanan ini terletak pada kondisi eksploitasinya. Serangan dapat berhasil ketika proses Built-in CODE Server sedang tidak berjalan, misalnya setelah restart, upgrade, atau crash.

Kondisi tersebut menciptakan celah keamanan yang berpotensi muncul dalam periode pemeliharaan maupun gangguan layanan.

Penting untuk diketahui bahwa kerentanan ini tidak memengaruhi standalone Collabora Online Server. Cakupan yang dikonfirmasi adalah aplikasi Built-in CODE Server yang terpasang pada Nextcloud.

Ringkasan Teknis

ParameterInformasiCVE IDCVE-2026-110447SeverityCriticalCVSS v4.09.2CWECWE-78Jenis KerentananOS Command InjectionKomponenCollabora Online – Built-in CODE ServerPackagerichdocumentscodeVersi TerdampakSebelum 26.4.303Versi Perbaikan26.4.303 atau lebih baruAutentikasiTidak diperlukanStatus EksploitasiExploited in the WildCISA KEVTerdaftar sejak 23 Oktober 2026

Bagaimana Kerentanan Ini Dapat Dieksploitasi?

Secara teknis, OS Command Injection terjadi ketika aplikasi menggunakan input yang tidak tepercaya untuk membentuk perintah sistem operasi tanpa pemisahan yang aman antara data dan instruksi.

Dalam kasus CVE-2026-110447, komponen proxy.php menjadi jalur yang dapat dimanfaatkan untuk memicu eksekusi perintah ketika Built-in CODE Server tidak berjalan.

Skenario serangan secara umum melibatkan beberapa tahapan berikut:

Penyerang menemukan layanan yang terdampak. Penyerang mengidentifikasi deployment Nextcloud yang menggunakan aplikasi Built-in CODE Server dengan versi rentan dan jalur akses yang dapat dijangkau.
Penyerang memanfaatkan kondisi proses CODE Server yang tidak aktif. Kondisi tersebut dapat terjadi setelah restart, upgrade, atau crash.
Request berbahaya dikirimkan ke komponen proxy. Input yang diproses secara tidak aman berpotensi menyebabkan sistem mengeksekusi perintah yang tidak diharapkan.
Perintah dijalankan dalam konteks web server. Jika eksploitasi berhasil, penyerang dapat menjalankan perintah menggunakan hak akses akun layanan web server, bukan otomatis sebagai root.
Penyerang berpotensi melanjutkan aktivitas berbahaya. Bergantung pada hak akses dan konfigurasi sistem, aktivitas lanjutan dapat mencakup akses file, perubahan konfigurasi, pemasangan persistence, atau komunikasi ke infrastruktur eksternal.

Meskipun eksekusi awal dibatasi oleh hak akses web server, dampaknya dapat berkembang apabila terdapat konfigurasi yang lemah, penyimpanan kredensial yang mudah diakses, atau segmentasi jaringan yang tidak memadai.

Mengapa Kerentanan Ini Berbahaya?

Ada tiga faktor utama yang menjadikan CVE-2026-110447 sebagai ancaman serius bagi organisasi.

1. Tidak memerlukan autentikasi

Penyerang tidak harus memiliki akun Nextcloud untuk memanfaatkan jalur yang rentan. Hal ini meningkatkan risiko terutama pada layanan yang dapat diakses dari jaringan tidak tepercaya.

2. Berpotensi menghasilkan Remote Code Execution

Eksploitasi yang berhasil memungkinkan perintah dijalankan pada server. Dampaknya dapat mencakup pencurian informasi, modifikasi file, dan gangguan ketersediaan layanan, sesuai hak akses proses yang terdampak.

3. Telah dieksploitasi di dunia nyata

Berbeda dengan kerentanan yang baru memiliki potensi eksploitasi secara teoritis, CVE-2026-110447 telah memiliki laporan eksploitasi aktif dan tercatat dalam katalog CISA KEV.

CISA menetapkan tanggal remediasi 26 Oktober 2026 dalam catatan KEV untuk kewajiban federal Amerika Serikat yang berlaku. Tenggat tersebut tidak otomatis menjadi kewajiban regulasi seluruh organisasi di Indonesia, tetapi menunjukkan urgensi penanganannya.

Versi Terdampak dan Pembaruan Keamanan

Collabora telah menyediakan perbaikan melalui rilis Built-in CODE Server 26.4.303.

KomponenStatusRekomendasirichdocumentscode sebelum 26.4.303RentanSegera perbaruirichdocumentscode 26.4.303 atau lebih baruPerbaikan tersediaVerifikasi versi dan integritasStandalone Collabora Online ServerTidak terdampak CVE iniTetap lakukan pemeliharaan keamanan rutinNextcloud versi 29 atau lebih lama yang menggunakan aplikasi terkaitMemerlukan perhatian tambahan karena status EOLUpgrade Nextcloud atau hapus aplikasi terdampak

Perhatian: Menonaktifkan aplikasi Built-in CODE Server melalui pengaturan Nextcloud saja tidak cukup untuk menghilangkan kerentanan. Collabora merekomendasikan pembaruan ke versi 26.4.303 atau lebih baru, atau penghapusan aplikasi secara menyeluruh.

Selain itu, CVE-2026-110447 berbeda dari CVE-2025-66208. Perbaikan untuk kerentanan sebelumnya tidak dapat diasumsikan melindungi sistem dari celah ini.

Dampak terhadap Infrastruktur Organisasi

Apabila kerentanan berhasil dieksploitasi, beberapa aspek keamanan sistem berpotensi terdampak.

Confidentiality — Kerahasiaan Informasi

Penyerang berpotensi membaca dokumen, konfigurasi, atau informasi sensitif yang dapat diakses oleh akun layanan web server. Besarnya dampak bergantung pada permission dan desain penyimpanan organisasi.

Integrity — Integritas Sistem

Eksekusi perintah tidak sah dapat memungkinkan perubahan file, manipulasi konfigurasi, atau penempatan komponen berbahaya pada direktori yang dapat ditulis.

Availability — Ketersediaan Layanan

Aktivitas berbahaya dapat mengganggu proses penyuntingan dokumen, menghabiskan sumber daya sistem, atau menyebabkan layanan tidak dapat digunakan.

Risiko Operasional

Dalam lingkungan organisasi yang mengandalkan Nextcloud untuk pertukaran dokumen, insiden dapat berdampak pada kesinambungan pekerjaan, keamanan informasi, dan proses pemulihan layanan.

Panduan Deteksi dan Threat Hunting

Tim Security Operations Center (SOC) dan administrator sistem disarankan melakukan pemeriksaan terhadap deployment Nextcloud yang menggunakan Built-in CODE Server, khususnya untuk aktivitas pada periode September hingga Oktober 2026.

Beberapa langkah deteksi yang dapat dilakukan meliputi:

Analisis HTTP Access Log. Identifikasi request tidak lazim ke jalur richdocumentscode/proxy.php, terutama yang memiliki pola encoding mencurigakan atau berdekatan dengan restart dan crash layanan.
Pemantauan Process Execution. Periksa munculnya proses shell atau utilitas sistem yang tidak sesuai baseline dari proses web server. Korelasikan parent process, command line, dan waktu kejadian.
Pemeriksaan Integritas File. Identifikasi penambahan file executable, perubahan file aplikasi, dan web shell yang tidak termasuk dalam paket resmi.
Pemantauan Koneksi Outbound. Analisis koneksi jaringan dan DNS yang tidak biasa dari host Nextcloud, terutama komunikasi yang muncul setelah aktivitas proses mencurigakan.
Korelasi Security Event. Gabungkan telemetry dari Web Application Firewall (WAF), reverse proxy, EDR/XDR, dan SIEM untuk memperoleh gambaran insiden yang lebih lengkap.

Temuan berupa karakter shell pada HTTP request tidak boleh langsung dianggap sebagai bukti kompromi. Validasi harus dilakukan melalui korelasi aktivitas jaringan, proses, perubahan file, dan konteks sistem.

Apabila ditemukan indikasi eksploitasi berhasil, organisasi perlu menjalankan prosedur Incident Response dan mempertahankan bukti digital sebelum melakukan tindakan pemulihan.

Langkah Mitigasi yang Direkomendasikan

Pengelola sistem disarankan segera melakukan langkah-langkah berikut.

1. Identifikasi Aset dan Versi Aplikasi

Lakukan inventarisasi seluruh instance Nextcloud, termasuk instance pengujian, layanan internal, dan deployment lama.

Pastikan apakah aplikasi richdocumentscode terpasang dan identifikasi versi yang digunakan.

2. Terapkan Pembaruan Resmi

Perbarui Collabora Online – Built-in CODE Server ke versi 26.4.303 atau lebih baru melalui sumber resmi.

Lakukan backup sebelum pembaruan, serta verifikasi bahwa versi baru telah digunakan oleh proses layanan yang aktif.

Jika pembaruan tidak dapat dilakukan, pertimbangkan penghapusan aplikasi terdampak sesuai rekomendasi vendor.

3. Batasi Eksposur Layanan

Evaluasi akses publik ke Nextcloud dan komponen CODE Server. Terapkan kontrol akses jaringan sesuai kebutuhan arsitektur integrasi.

Pembatasan akses melalui firewall, reverse proxy, atau WAF dapat mengurangi permukaan serangan, tetapi tidak menggantikan pembaruan keamanan.

4. Periksa Kemungkinan Kompromi

Lakukan pemeriksaan terhadap file aplikasi, proses mencurigakan, perubahan konfigurasi, dan aktivitas jaringan yang tidak wajar.

Jika kompromi terkonfirmasi, lakukan eradication, pemulihan dari sumber tepercaya, serta rotasi kredensial atau secret yang berpotensi terekspos.

5. Perkuat Monitoring dan Hardening

Terapkan prinsip least privilege, pembatasan akses filesystem, segmentasi jaringan, serta pemantauan aktivitas host secara berkelanjutan.

Pastikan log keamanan tersedia dengan retensi dan sinkronisasi waktu yang memadai untuk mendukung investigasi.

Imbauan Keamanan CSIRT Komdigi

CSIRT Komdigi mengimbau seluruh pengelola sistem, administrator Nextcloud, dan tim keamanan informasi untuk segera memeriksa penggunaan Collabora Online – Built-in CODE Server pada lingkungan masing-masing.

Mengingat kerentanan ini telah dilaporkan dieksploitasi secara aktif, organisasi disarankan memprioritaskan pembaruan aplikasi dan melakukan pemeriksaan keamanan terhadap sistem yang berpotensi terdampak.

Pembaruan keamanan merupakan langkah penting, tetapi tidak selalu cukup apabila sistem telah mengalami kompromi. Pemeriksaan menyeluruh diperlukan untuk memastikan tidak terdapat akses tidak sah, persistence, maupun artefak berbahaya yang tertinggal.

Keamanan layanan kolaborasi dokumen perlu dijaga melalui pembaruan berkala, pembatasan akses, pemantauan berkelanjutan, dan kesiapan penanganan insiden.