--- title: "Hackerlar Collabora'nın Yerleşik CODE Uygulamasındaki Kritik Açıkla Nextcloud Sunucularına Arka Kapı Yerleştirdi" url: "https://teknotayf.com/haber/hackerlar-collabora-nin-yerlesik-code-uygulamasindaki-kritik-acikla-nextcloud-sunucularina-arka-kapi-yerlestirdi" markdown_url: "https://teknotayf.com/haber/hackerlar-collabora-nin-yerlesik-code-uygulamasindaki-kritik-acikla-nextcloud-sunucularina-arka-kapi-yerlestirdi.md" site: "teknotayf.com" language: "tr" published: "2026-10-14 20:38:31" updated: "2026-10-14 21:09:14" category: "Siber Güvenlik" tags: ["Nextcloud Güvenlik Açığı","Collabora CODE","Web Shell Saldırısı","CVE-2026-110447"] source: "The Hacker News" --- # Hackerlar Collabora'nın Yerleşik CODE Uygulamasındaki Kritik Açıkla Nextcloud Sunucularına Arka Kapı Yerleştirdi > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/hackerlar-collabora-nin-yerlesik-code-uygulamasindaki-kritik-acikla-nextcloud-sunucularina-arka-kapi-yerlestirdi > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Saldırganlar Collabora Online - Built-in CODE Server uygulamasındaki bir açık üzerinden Nextcloud sunucularına web shell yerleştirdi. İlk kayıtlı saldırı 10 Eylül'de görüldü, Collabora sorunu 11 Eylül'de 26.4.303 sürümüyle kapattı ve 14 Ekim'de CVE-2026-110447 uyarısını yayımladı. - **Yayın tarihi:** 2026-10-14 20:38 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Nextcloud Güvenlik Açığı, Collabora CODE, Web Shell Saldırısı, CVE-2026-110447 - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/hackers-backdoor-nextcloud-servers.html) ![Hackerlar Collabora'nın Yerleşik CODE Uygulamasındaki Kritik Açıkla Nextcloud Sunucularına Arka Kapı Yerleştirdi](https://teknotayf.com/assets/uploads/2026/10/aa7a1c94fee77c1012f1fd8a97722b10.jpg) Saldırganlar, isteğe bağlı bir Nextcloud uygulamasındaki açık olan Collabora Online - Built-in CODE Server üzerinden Nextcloud sunucularına web shell yerleştirdi. Sorunu GitHub'da üç yönetici bildirdi; ilk kayıtlı saldırı 10 Eylül'de gerçekleşti. Web shell, web sunucusu hesabının haklarıyla saldırganın web isteğiyle gönderdiği her komutu çalıştıran küçük bir dosyadır. Açık, uygulamanın yerel belge sunucusu çalışmıyorken kimlik doğrulaması olmadan komut çalıştırılmasına izin veriyor; bu durum yeniden başlatma, yükseltme ya da çökme sonrası ortaya çıkıyor. Collabora sorunu 11 Eylül'de **26.4.303** sürümünde düzeltti ve 14 Ekim'de **CVE-2026-110447** tanımlayıcılı bir danışma yayımladı. Uygulamanın kapatılmasının yeterli olmadığını, güncellenmesi ya da kaldırılması gerektiğini belirtti. ## Kimler Etkilendi Collabora tarafından richdocumentscode paket adıyla yayımlanan uygulama, Collabora Online Development Edition'ın bir kopyasını indirip Nextcloud sunucusunun üzerinde çalıştırıyor. Bu sayede Nextcloud Office, ayrı bir Collabora sunucusu olmadan belge düzenleyebiliyor. Mağaza listesinde uygulama "yerel test ve üretim dışı kullanım için" ve "kişisel kullanım ya da küçük ekipler için" olarak tanımlanıyor. Collabora'nın danışması 26.4.303 öncesi her sürümü kapsıyor ve bağımsız Collabora Online sunucularının etkilenmediğini söylüyor. 3 Ekim'de Nextcloud topluluk forumunda paylaşılan bir uyarıda, yalnızca Nextcloud Office uygulaması richdocuments ile çalışan ve yerleşik uygulamayı kullanmayan kurulumların etkilenmediği belirtildi; Collabora sunucusu Docker'dan, Linux paketinden ya da bir barındırma sağlayıcısından çalışıyor olsa bile. Uygulamanın proxy.php betiği, yerel CODE sunucusunu dinleyen bir şey olmadığında gelen istekle başlatıyor. 26.4.302'ye kadar olan sürümlerde betik, isteğin metnini ve yolunu çift tırnaklı bir bash komutunun içine yerleştiriyordu; kabuk $(...) şeklinde yazılan her şeyi çalıştırıyordu. Yolunda komut gizlenmiş bir istek, komutu web sunucusu kullanıcısı olarak çalıştırıyordu. Betik komutu yalnızca sunucuyu başlatması gerektiğinde oluşturduğu için saldırı, sunucu kapalı olduğunda; yani kapsayıcı yeniden başlatıldığında, yükseltme sırasında ya da çökme sonrası çalışıyordu. Betik, Nextcloud kodunu yüklemeyen, uygulamanın klasöründen doğrudan web sunucusu tarafından çalıştırılan düz bir PHP dosyası. "Sorunu önlemek için uygulamayı devre dışı bırakmak yeterli değil; 26.4.303 veya daha yenisine yükseltilmeli ya da kaldırılmalı" dedi Collabora danışmasında. Düzeltilmiş sürümler Nextcloud 30 veya daha yenisini gerektiriyor. Nextcloud 29 ve daha eskileri yaşam döngüsünün sonundadır ve uygulama mağazası hâlâ etkilenen bir sürüm sunuyor; bu kullanıcıların Nextcloud'u yükseltmesi ya da uygulamayı kaldırması gerekiyor. Collabora'nın geçen aralıkta açıkladığı aynı betikteki ayrı bir komut enjeksiyon açığı CVE-2025-66208 için yaptığı düzeltme bu açığı önlemiyor. ## Saldırganlar Ne Yaptı İlk bildirim, birkaç Nextcloud sunucusu barındıran bir yöneticiden geldi; yönetici GitHub'da sunucuların bir gün önce hacklendiğini yazdı. İki sunucunun erişim kayıtları 10 Eylül 19:51 ve 11 Eylül 09:56'da (UTC+2) aynı IP adresinden proxy.php?status isteği geldiğini gösteriyor; istek yolunda kabuk komutu gizliydi. Yöneticinin tüm sunucuları 26.4.302 sürümünde çalışıyordu. Komut, tek satırlık bir PHP web shell'i uygulamanın klasörüne çözdü ve sunucunun uname -a çıktısını bir webhook.site adresine göndermeye çalıştı. Bir sunucuda saldırgan shell'i kullanarak kimlik bilgisi depoları ve kripto cüzdanları aradı; *.kdbx, wallet.dat ve keystore.json dosyaları ile bitwarden, 1password, .bitcoin, .electrum, .monero ve .ethereum gibi isimler hedeflendi. İncelenen isteklerde arşivleme, yükleme ya da dosya kopyalama komutu görülmedi, ancak yönetici yazdığına göre web sunucusu hesabının okuyabildiği her şey potansiyel olarak açığa çıkmış sayılmalı. İki başka yönetici de kendi örneklerinde aynı durumu bildirdi. Biri Nextcloud'un bütünlük denetimi yeni bir PHP dosyası işaretleyince shell'i buldu, diğeri sunucuda başarısız sudo denemelerine ilişkin e-postalardan haberdar oldu. Hiçbir raporda saldırganın root erişimi elde ettiği gösterilmiyor. 26.4.303'e yükselten bir yönetici, 14 Eylül'de ikinci bir IP adresinden aynı tür bir yüklemeyle yeni bir deneme kaydetti. Başlatılan CODE sunucusu başlatma seçeneklerinde saldırı metnini taşıdı, ancak yeni bir shell dosyası oluşmadı. Çıktı "korkutucu görünüyor ama zararsız olmalı" diye yanıtladı proje adına dizide cevap veren mmeeks; kullanıcılara güncelleme yapmaları ve kalan shx*.php dosyalarını kaldırmaları çağrısında bulundu. CVE kaydı açığın "Eylül ve Ekim 2026'da yabanıl ortamda istismar edildiğini" tanımlıyor. Kaç sunucunun etkilendiği bilinmiyor. "Bu yalnızca Development Edition'ı etkiliyor ve yalnızca yerel appimage indiren bu daha nadir Built-in CODE Server dağıtım modunda" diye yazdı mmeeks. ## Şimdi Ne Yapılmalı Yapılacaklar sırası: Nextcloud uygulama listesinde Collabora Online - Built-in CODE Server olarak görünen richdocumentscode uygulamasını 26.4.303 veya daha yenisine güncelleyin ya da uygulamayı kaldırın. Nextcloud'da devre dışı bırakmak açığı kapatmıyor. 26.4.303'ü yükleyemeyen Nextcloud 29 veya daha eski sürümlerde Nextcloud'u yükseltin ya da uygulamayı kaldırın. Zaten güncellediyseniz apps/richdocumentscode klasöründen başlayarak shx*.php dosyalarını arayıp silin. Ardından erişim kayıtlarını en az 10 Eylül'e kadar geriye doğru kontrol edin; yolunda %2e%2e , $( ya da ${IFS} bulunan proxy.php?status isteklerini ve web sunucusu hesabı tarafından yapılan sudo denemelerini arayın. İlk bildirende belirtildiği gibi, o hesabın okuyabildiği her şey potansiyel olarak açığa çıkmış kabul edilmeli. 24 Eylül'de yayımlanan 26.4.402 sürümü başlatma komutunu her seçeneği ayrı argüman olarak geçecek şekilde yeniden yazdı, ancak yöneticiler bazı kurulumlarda başlatamadığını ya da belge açamadığını bildirip 26.4.303'e geri döndü; bu sürüm danışmanın belirttiği düzeltme. 14 Ekim itibarıyla daha yeni bir sürüm yayımlanmamıştı. Yöneticilerin kayıtlarından alınan göstergeler: SHA-256: 4b9fbd0663fbfd6028fc216ed18e0d6ef3ae498a7fdc97083e4b0ce3cec40562, tek satırlık shell &1'); Yol: /apps/richdocumentscode/proxy.php?status IP: 139.28[.]18[.]122 (10 ve 11 Eylül saldırıları), 89.38[.]98[.]50 (yama yapılmış sunucuya 14 Eylül denemesi) İstek işaretleri: istek yolunda %2e%2e , $( , ${IFS} ve base64 -d piped to sh Alan adı: webhook[.]site, genel bir servis; geri arama kimlikleri 45060ed4-de0b-4119-8f0d-2a2776bbd413 ve 774cf5e1-b5a4-4174-a1ad-0241861029a2 ## Güvenlik Duyurusu Olmadan Yayınlanan Düzeltme Açığı kapatan kod değişikliği proxy.php'de dört satır. Başlatma komutu artık bash'a çift tırnaklı bir dize yerine tek kaçışlı argüman olarak iletiliyor; böylece isteğin metnini genişletmiyor. Depo kayıtlarına göre değişiklik 20 Ağustos'ta danışmayı da yayımlayan Caolán McNamara tarafından "coolwsd başlatma komutunun oluşturulmasının temizlenmesi" başlığıyla yazıldı. 31 Ağustos'ta yayımlanan 26.4.302 sürümünde yoktu ve 9 Eylül'de işlendi. İlk kayıtlı saldırı 10 Eylül'de geldi, 26.4.303 ise 11 Eylül'de yalnızca paketlenen CODE derlemesini belirten notlarla yayımlandı. Saldırıları bildiren yönetici düzeltme gelene kadar uygulamayı devre dışı bıraktı; danışma artık bunun yeterli olmadığını söylüyor. Dizide mmeeks kullanıcılara güncelleme yapmalarını söyledi, "yakında daha fazla güncelleme" sözü verdi ve GitHub'ın danışma veritabanındaki "rekor birikim"e işaret ederek haziranda GitHub'ın işlemlerinin haftalar geride kaldığını belirttiği bir gönderiye bağlantı verdi. 3 Ekim'de Nextcloud topluluk forumunda bir üye, açığın "zaten istismar edildiğini" ve "hiç uyarı ya da CVE yayımlanmadığını" belirterek diğer kullanıcıları derhal güncellemeye çağırdı. CVE ve danışma 14 Ekim'de geldi. Danışma GitHub kullanıcısı wwwshellcodeit'i bildirici olarak gösteriyor ve ne danışma ne de dizide bildirimin ne zaman geldiği ya da Collabora'nın değişikliğin güvenlik düzeltmesi olduğunu ne zaman öğrendiği belirtilmiyor. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/hackerlar-collabora-nin-yerlesik-code-uygulamasindaki-kritik-acikla-nextcloud-sunucularina-arka-kapi-yerlestirdi Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.