[속보] Collabora, Nextcloud 내장 CODE 서버 긴급 업데이트 권고…앱 비활성화로는 안 돼
Collabora가 Nextcloud 내장 CODE 서버 앱의 치명적 명령 주입 취약점에 즉시 업데이트를 권고했다. 공식 보안 권고에 따르면 26.4.303 이상으로 올리거나 앱을 제거해야 하며, 비활성화만으로는 공격을 막을 수 없다.
Collabora가 Nextcloud용 ‘Collabora Online - Built-in CODE Server’ 앱 이용자에게 즉시 업데이트를 권고했다. 회사 공식 블로그와 14일 공개된 보안 권고에 따르면 인증 없이 웹 서버 계정 권한으로 운영체제 명령을 실행할 수 있는 취약점이 있으며, 앱을 비활성화하는 것만으로는 공격을 막을 수 없다. 취약점 식별자는 CVE-2026-110447이다. 영향 대상은 richdocumentscode 앱 26.4.303 이전 버전이며, Collabora는 심각도를 최고 단계인 ‘치명적’으로 분류했다. 관리자는 앱을 26.4.303 이상으로 올리거나 제거해야 한다. 공격은 내장 CODE 서버가 실행되지 않는 동안 성립한다. 컨테이너 재시작이나 업그레이드, 충돌 뒤 서버가 멈춘 구간이 여기에 해당한다. 이때 앱의 프록시를 거친 요청이 웹 서버 사용자 권한으로 명령을 실행할 수 있다. CODE 서버 프로세스가 현재 동작하는지만 확인해서는 이후 재시작 때의 위험까지 해소할 수 없는 구조다. 모든 Nextcloud나 Collabora 설치가 같은 영향을 받는 것은 아니다. Collabora는 이번 문제가 선택형 내장 CODE 서버 앱에 한정되며, 독립형 Collabora Online 서버와 Docker 이미지, RPM·DEB 패키지, Nextcloud All-in-One 구성은 영향이 없다고 밝혔다. 공식 권고는 지원이 종료된 Nextcloud 29 이하 이용자에게 Nextcloud 자체를 업그레이드하거나 해당 앱을 제거하라고 안내한다. 실제 침해를 호소하는 운영자의 원문 신고도 공개돼 있다. 프로젝트 GitHub 이슈에는 9월 10일과 11일 공격 요청 기록과 함께 richdocumentscode 26.4.302를 쓰던 여러 서버에 PHP 웹셸이 만들어졌다는 보고가 올라왔다. 신고자는 한 서버에서 비밀번호 데이터베이스와 암호화폐 지갑 관련 파일을 찾는 명령을 확인했다고 설명했다. 다만 검토한 요청에서 파일을 외부로 전송하는 명령은 보이지 않았다고 밝혀, 이 신고만으로 데이터 유출 규모를 단정할 수는 없다. Collabora는 수정본을 약 한 달 전에 배포했으나 공식 취약점 발표가 뒤늦게 이뤄졌다고 설명했다. 회사는 GitHub의 CVE 처리 지연을 주요 원인으로 들고, 직접 CVE를 할당할 수 있는 기관인 CNA가 되기 위한 신청을 진행하고 있다고 밝혔다. 이번 취약점은 앞서 알려진 CVE-2025-66208과 공격 경로가 다르다. Collabora는 이전 문제의 패치로 이번 결함을 막을 수 없다고 명시했다. 내장 CODE 서버 앱을 사용하는 관리자는 적용했던 과거 패치가 아니라 현재 설치된 앱 버전과 배포 방식을 기준으로 조치 여부를 판단해야 한다. 출처: Collabora 공식 블로그, Stay Safe: Upgrade Everything Regularly https://www.collaboraonline.com/blog/stay-safe-upgrade-everything-regularly/ Collabora 공식 보안 권고, Unauthenticated OS command injection in the richdocumentscode proxy https://github.com/CollaboraOnline/online/security/advisories/GHSA-g3vx-3m76-fghh CollaboraOnline 프로젝트 GitHub 운영자 원문 신고, Security issue - Hack https://github.com/CollaboraOnline/richdocumentscode/issues/354
