Celah Keamanan Ancam Nextcloud –

Celah Keamanan Ancam Nextcloud – Para peretas terpantau aktif mengeksploitasi celah keamanan kerentanan injeksi perintah pada aplikasi opsional Nextcloud, yaitu Collabora Online – Built-in CODE Server (richdocumentscode).

Celakanya, serangan ini dimanfaatkan untuk menanamkan skrip pengendali tersembunyi (web shell) langsung ke dalam server Nextcloud korban.

Insiden ini terungkap setelah tiga administrator sistem melaporkan aktivitas mencurigakan tersebut di platform GitHub, dengan serangan pertama yang tercatat terjadi pada 10 September lalu.

Pihak pengembang akhirnya merilis perbaikan melalui versi 26.4.303 pada 11 September, disusul penerbitan penasihat keamanan resmi beridentifikasi CVE-2026-110447 pada 14 Oktober.

Pengembang menegaskan bahwa sekadar menonaktifkan aplikasi tidak cukup untuk menghentikan ancaman; aplikasi tersebut wajib diperbarui (update) atau dihapus sepenuhnya.

Siapa Saja yang Terdampak?

Aplikasi Built-in CODE Server memungkinkan server Nextcloud mengedit dokumen secara lokal tanpa memerlukan server Collabora terpisah.

Namun, deskripsi di toko aplikasi secara jelas mencantumkan bahwa alat ini ditujukan “untuk pengujian lokal dan penggunaan non-produksi” serta “untuk penggunaan pribadi atau tim kecil.”

Berdasarkan penasihat keamanan, seluruh versi sebelum 26.4.303 dinyatakan rentan. Sementara itu, server Collabora Online mandiri (standalone) dipastikan aman dari celah ini.

Instalasi yang hanya menggunakan aplikasi Nextcloud Office standar (richdocuments) tanpa modul server bawaan juga tidak terdampak.

Celah ini terletak pada skrip proxy.php yang bertugas meluncurkan server CODE lokal setiap kali ada permintaan (request) masuk dan tidak ada layanan yang sedang berjalan.

Pada versi yang rentan, skrip tersebut memasukkan teks dari jalur permintaan (request path) ke dalam perintah bash ber-tanda kutip ganda. Akibatnya, perintah yang ditulis di dalam format khusus (seperti $(…)) tetap dieksekusi oleh shell.

Serangan ini memiliki karakteristik yang unik: ia hanya dapat bekerja saat server lokal sedang dalam keadaan mati, seperti saat kontainer (container) dimulai ulang, mengalami crash, atau sedang dalam proses pembaruan (upgrade).

Apa yang Dilakukan oleh Para Penyerang?

Berdasarkan laporan para administrator yang menjadi korban, akses log menunjukkan adanya permintaan mencurigakan yang mengarah ke proxy.php?status dengan perintah shell tersembunyi di dalam jalur permintaan.

Setelah berhasil mengeksekusi perintah tersebut, aksi penyerang meliputi:

Mendekode dan menanamkan web shell PHP satu baris ke dalam folder aplikasi.
Mengirimkan hasil keluaran perintah sistem (seperti uname -a) ke layanan eksternal untuk pengujian.
Memindai direktori sistem untuk mencari penyimpanan kredensial dan dompet mata uang kripto (termasuk file .kdbx, wallet.dat, keystore.json, serta folder data dari Bitwarden, 1Password, Bitcoin, dan Ethereum).

Meskipun catatan log tidak menunjukkan adanya eksfiltrasi file berskala besar, para ahli mengingatkan bahwa file apa pun yang dapat dibaca oleh akun web server harus dianggap berisiko tinggi dan berpotensi terekspos.

Tindakan Cepat yang Harus Dilakukan Administrator

Jika Anda menggunakan aplikasi Collabora Online – Built-in CODE Server di lingkungan Nextcloud Anda, segera ambil langkah-langkah mitigasi berikut secara berurutan:

Perbarui atau Hapus Aplikasi: Mutakhirkan paket richdocumentscode ke versi 26.4.303 atau yang lebih baru. Jika tidak benar-benar dibutuhkan, disarankan untuk menghapus aplikasi tersebut dari sistem. Perlu diingat bahwa menonaktifkan aplikasi tidak menutup celah kerentanan.
Periksa Versi Nextcloud: Pengguna Nextcloud versi 29 atau lebih lama yang tidak dapat memasang pembaruan versi 26.4.303 wajib segera memutakhirkan inti Nextcloud mereka atau menghapus aplikasi yang rentan tersebut.
Pindai Sisa File Berbahaya (Web Shell): Jika Anda sudah telanjur memperbarui sistem, periksa direktori penyimpanan aplikasi (khususnya di dalam apps/richdocumentscode/) dan cari file mencurigakan berformat shx*.php (seperti shrf4645.php, shxa35d0.php, dll.) lalu hapus segera.
Periksa Log Akses Server: Tinjau ulang log akses Anda setidaknya sejak tanggal 10 September. Cari permintaan yang mengarah ke proxy.php?status yang mengandung karakter manipulasi jalur seperti %2e%2e, $(, atau ${IFS}, serta periksa apakah ada upaya perintah sudo oleh akun web server.

Langkah Mitigasi Pengamanan Server Nextcloud

Untuk memperkuat pertahanan server penyimpanan awan Anda dari ancaman eksploitasi modul pihak ketiga, terapkan 8 langkah mitigasi keamanan berikut:

Terapkan Pembaruan Berkala (Patch Management): Pastikan inti aplikasi Nextcloud, sistem operasi peladen, dan seluruh modul aplikasi tambahan selalu diperbarui ke versi stabil terbaru.
Batasi Penggunaan Fitur Uji Coba di Produksi: Hindari menggunakan aplikasi atau komponen yang berstatus Built-in atau untuk pengujian lokal pada server produksi utama perusahaan.
Audit Ekstensi dan Aplikasi Pihak Ketiga: Batasi pemasangan aplikasi tambahan di Nextcloud dan hapus plugin yang sudah tidak aktif atau jarang mendapatkan pembaruan keamanan.
Pantau Log Aktivitas Sistem secara Rutin: Aktifkan pemantauan log terpusat untuk mendeteksi anomali pada direktori aplikasi web secara real-time.
Perketat Hak Akses Berkas (File Permissions): Pastikan akun pengguna web server hanya memiliki izin baca/tulis yang sangat terbatas pada direktori yang benar-benar esensial.
Gunakan Integrasi Server Terpisah: Jika membutuhkan fitur pengeditan dokumen kolaboratif berskala besar, gunakan server Collabora eksternal yang diisolasi, bukan modul lokal di dalam server utama.
Terapkan Aturan Pemindaian Malware: Jalankan pemindai integritas file secara berkala untuk mendeteksi perubahan mendadak atau kemunculan file skrip PHP baru di direktori web.
Siapkan Rencana Tanggap Darurat (Incident Response): Latihlah prosedur isolasi server dan pemulihan data jika ditemukan indikasi penanaman web shell atau pembobolan sistem.

Baca artikel lainnya: