สมมติว่าบริษัทของคุณตั้ง Nextcloud ไว้เป็นที่เก็บไฟล์กลาง แทนการส่งไฟล์ทางอีเมล ฝ่ายบัญชีเก็บใบแจ้งหนี้ ฝ่ายบุคคลเก็บสัญญาจ้าง ตอนติดตั้ง ทีมไอทีเปิดแอป Built-in CODE Server ไว้ด้วย เพราะทำให้เปิดและแก้ไฟล์ Word หรือ Excel บนเว็บได้ทันที ไม่ต้องตั้งเซิร์ฟเวอร์เอกสารแยก
แอปตัวนี้เองคือจุดที่ผู้โจมตีใช้เข้าเครื่องมาตั้งแต่เดือนกันยายน และบางบริษัทที่คิดว่าปิดแอปแล้วก็ยังเสี่ยงอยู่
เกิดอะไรขึ้น
วันที่ 23 ตุลาคม 2569 CISA หน่วยงานความมั่นคงไซเบอร์ของสหรัฐฯ เพิ่ม CVE-2026-110447 เข้ารายการช่องโหว่ที่ถูกโจมตีจริง (Known Exploited Vulnerabilities หรือ KEV) และกำหนดให้หน่วยงานรัฐบาลกลางสหรัฐฯ แก้ภายใน 26 ตุลาคม 2569 ซึ่งห่างกันแค่สามวัน
ตามประกาศความปลอดภัยของ Collabora ที่เผยแพร่วันที่ 14 ตุลาคม 2569 ช่องโหว่อยู่ในแอป Collabora Online Built-in CODE Server (ชื่อแอปในระบบคือ richdocumentscode) ของ Nextcloud รุ่นก่อน 26.4.303 รายละเอียดหลักมีดังนี้
- คำขอที่สร้างขึ้นมาเฉพาะ ส่งไปที่ไฟล์ proxy.php ของแอป ทำให้รันคำสั่งระบบปฏิบัติการได้ด้วยสิทธิ์ของบัญชีที่รันเว็บเซิร์ฟเวอร์
- ไม่ต้องล็อกอินและไม่ต้องให้ผู้ใช้กดอะไร
- เงื่อนไขคือตอนนั้นเซิร์ฟเวอร์เอกสารในตัวต้องไม่ได้ทำงานอยู่ เช่น หลังรีสตาร์ต หลังอัปเกรด หรือหลังโปรแกรมล่ม ซึ่งเกิดขึ้นได้บ่อยกว่าที่คิด
- ความรุนแรงระดับ Critical คะแนน CVSS v4 อยู่ที่ 9.2
- Collabora Online แบบแยกเซิร์ฟเวอร์ไม่ได้รับผลกระทบ
ลำดับเหตุการณ์จากข้อมูลที่เราตรวจได้
- 11 กันยายน 2569 ผู้ดูแลระบบรายหนึ่งเปิด issue ใน GitHub ของโปรเจกต์ รายงานว่าเซิร์ฟเวอร์ Nextcloud หลายเครื่องถูกโจมตีผ่าน proxy.php ในวันเดียวกัน รุ่น 26.4.303 ที่แก้ปัญหาออกมาแล้ว ตามรายงานของ BleepingComputer
- 3 ตุลาคม 2569 มีโพสต์ในฟอรัมชุมชน Nextcloud เตือนให้ผู้ใช้ Built-in CODE อัปเดตทันทีเพราะมีการโจมตีอยู่
- 14 ตุลาคม 2569 Collabora ออกประกาศความปลอดภัยและเลข CVE
- 23 ตุลาคม 2569 CISA เพิ่มเข้า KEV
หมายความว่าแพตช์มีมาตั้งแต่กลางเดือนกันยายน แต่ประกาศอย่างเป็นทางการตามมาหลังจากนั้นกว่าหนึ่งเดือน ใครที่รอดูประกาศความปลอดภัยก่อนค่อยอัปเดต จะเปิดช่องให้ผู้โจมตีนานกว่าสี่สัปดาห์
ผู้โจมตีทำอะไรกับเครื่องที่เข้าได้
จากรายงานใน issue ของโปรเจกต์ ผู้โจมตีส่งคำสั่งผ่าน proxy.php เพื่อสร้างไฟล์ PHP ไว้บนเซิร์ฟเวอร์ ชื่อไฟล์มีรูปแบบอย่าง shx*.php ไฟล์นี้ใช้เป็นประตูหลังสำหรับสั่งงานเครื่องต่อ บนเครื่องหนึ่งพบว่าผู้โจมตีค้นหาไฟล์ฐานข้อมูลรหัสผ่าน (.kdbx) และไฟล์กระเป๋าคริปโต ผู้ใช้อีกรายในฟอรัม Nextcloud ตรวจพบไฟล์ PHP แปลกปลอมอีกชื่อหนึ่งในโฟลเดอร์ของแอปจากการตรวจความสมบูรณ์ของไฟล์
BleepingComputer รายงานว่ามีผู้ใช้บางรายเล่าว่าเครื่องโดนแรนซัมแวร์ผ่านช่องโหว่นี้ แต่สำนักข่าวยืนยันเองไม่ได้ ส่วน Nextcloud ให้ข้อมูลว่ายังไม่พบการโจมตีเป็นวงกว้าง
ทำไมปิดแอปแล้วยังไม่พอ
จุดที่หลายบริษัทจะพลาดคือ คิดว่ากด disable แอปในหน้าตั้งค่าแล้วจบ ประกาศของ Collabora ระบุชัดว่าการปิดแอปไม่ใช่วิธีป้องกัน แอปต้องอัปเกรดเป็น 26.4.303 ขึ้นไป หรือถอนออกจากเครื่องเท่านั้น ถ้ายังใช้ Nextcloud รุ่น 29 หรือเก่ากว่าซึ่งหมดระยะดูแลจากผู้พัฒนาแล้ว ให้อัปเกรด Nextcloud หรือถอนแอปนี้ออก
ข่าวดีคือการติดตั้งบางแบบไม่โดน ตามข้อมูลจาก Collabora และโพสต์ในฟอรัม ระบบที่ใช้ Collabora Online แยกเซิร์ฟเวอร์ ติดตั้งผ่าน Docker หรือแพ็กเกจของ Linux, Nextcloud All-in-One และบริการ Collabora แบบโฮสต์ ไม่ได้รับผลกระทบ แอปที่มีปัญหาคือ richdocumentscode ตัวเดียว ไม่ใช่แอป richdocuments ที่ใช้เชื่อมกับเซิร์ฟเวอร์เอกสารภายนอก
