Nextcloud Sunucularında Kritik Collabora Açığıyla Arka Kapı Tehlikesi

Nextcloud platformunda, özellikle belge yönetimi için kullanılan Collabora Online – Built-in CODE Server uygulamasında ciddi bir güvenlik zafiyeti tespit edildi. CVE-2026-110447 olarak tanımlanan bu kritik Nextcloud sunucu açığı, saldırganların sunuculara web kabukları (web shell) yerleştirmesine olanak tanıyor. Bu durum, kişisel veya kurumsal bulut depolama çözümleri için Nextcloud kullanan pek çok sistemi potansiyel bir tehdit altına sokarken, uygulamanın kullanım amacı ve mevcut riskler yeniden gündeme geldi.

Yerleşik CODE Sunucusunun Gizli Zafiyeti

Söz konusu güvenlik açığı, Collabora’nın richdocumentscode paketi altında yayımladığı ve Nextcloud Office entegrasyonuyla belgelerin doğrudan Nextcloud sunucusu üzerinde düzenlenmesine imkan tanıyan yerleşik CODE sunucusu uygulamasında ortaya çıktı. Normalde “yerel test ve üretim dışı kullanım” veya “kişisel kullanım ve küçük ekipler için” ibareleriyle sunulan bu eklenti, ayrı bir Collabora sunucusuna ihtiyaç duymadan belge düzenleme olanağı sağlıyor. Ancak bu kolaylık, beklenmedik bir güvenlik riskiyle geldi. İlk saldırı raporları 10 Eylül’de GitHub üzerinden yöneticiler tarafından paylaşılırken, Collabora 11 Eylül’de 26.4.303 sürümüyle hızlıca bir düzeltme yayımladı ve 14 Ekim’de resmi uyarıda bulundu.

Bu zafiyetin temelinde, uygulamanın proxy.php betiği yatıyor. Bu betik, yerel CODE sunucusu çalışmadığı zamanlarda—örneğin bir yeniden başlatma, yükseltme veya çökme esnasında—gelen bir istek üzerine sunucuyu başlatmakla görevli. 26.4.302 ve önceki sürümlerde, betik isteğin yolundan alınan metni çift tırnak içine alınmış bir bash komutuna yerleştiriyordu. Bu yapı, saldırganların yol içinde `$(…)` kalıbıyla komut enjekte ederek, web sunucusu hesabının yetkileriyle rastgele komutlar çalıştırmasına olanak tanıdı. Kimlik doğrulama gerektirmeyen bu işlem, sunucu duraklama anlarında kritik bir kapı aralıyor.

Bu tür bir komut enjeksiyonu, genellikle “subshell execution” olarak bilinir. `$(…)` yapısı, parantez içindeki komutun çıktısının ana komutun bir argümanı olarak kullanılmasını sağlar. Bu sayede, saldırganlar `proxy.php` betiğinin yol parametresine örneğin `’; rm -rf /; ‘` gibi komutlar ekleyerek sunucunun dosya sisteminde değişiklik yapabilir, yeni kullanıcılar oluşturabilir veya mevcut verileri manipüle edebilirler. Bu kritik zafiyet, web sunucusu (genellikle Apache veya Nginx altında çalışan PHP-FPM) hesabının yetkileriyle sınırsız bir erişim anlamına gelir.

Web Shell Saldırılarının Mekanizması ve Etkileri

Saldırganlar, bu güvenlik açığından yararlanarak Nextcloud sunucularına web shell adı verilen küçük dosyalar yerleştirdi. Bir web shell, siber saldırganların bir web isteği aracılığıyla sunucu üzerinde diledikleri komutları çalıştırmasına olanak tanıyan kötü amaçlı bir betik veya arayüzdür. Bu sayede, saldırganlar ele geçirdikleri sunucu üzerinde tam kontrol elde edebilir; veri çalabilir, sistemi değiştirebilir veya sunucuyu başka saldırılar için bir basamak olarak kullanabilirler. Bu tür yetkisiz erişim, hem kişisel verilerin gizliliği hem de kurumsal sistemlerin bütünlüğü açısından büyük tehdit oluşturur.

Web shell’ler, PHP, ASP, JSP gibi çeşitli betik dillerinde yazılabilir ve basit bir dosya yükleme arayüzünden, tam teşekküllü bir komuta-kontrol (C2) paneline kadar geniş bir yelpazede olabilir. Yüklenen bir web shell aracılığıyla saldırganlar, sunucudaki hassas yapılandırma dosyalarını okuyabilir, veritabanı bağlantı bilgilerini ele geçirebilir, yeni kötü amaçlı yazılımlar yükleyebilir veya sunucuyu botnet’lere dahil edebilirler. Bu durum, sadece Nextcloud verilerinin değil, aynı zamanda sunucunun barındırdığı diğer uygulamaların ve ağın da güvenliğini tehlikeye atar.

Nextcloud’un resmi topluluk forumunda 3 Ekim’de yapılan bir uyarı, yalnızca Nextcloud Office uygulamasını (richdocuments) kullanan ancak yerleşik CODE uygulamasını kullanmayan kurulumların etkilenmediğini belirtti. Bu durum, Collabora sunucusunun Docker, bir Linux paketi veya bir hosting sağlayıcısı üzerinden çalıştırılmasının fark yaratmadığını gösteriyor. Ancak, richdocumentscode uygulamasını doğrudan Nextcloud sunucusu üzerinde çalıştıran herkes risk altında. Collabora’nın daha önce aynı betikteki ayrı bir komut enjeksiyonu açığına (CVE-2025-66208) yönelik düzeltmesinin bu yeni zafiyeti engellemediği de belirtildi.

Kullanıcılar İçin Acil Güvenlik Önlemleri

Bu kritik güvenlik açığı karşısında Nextcloud yöneticileri ve kullanıcıları için acil adımlar gerekiyor. Collabora’nın uyarısına göre, uygulamayı sadece devre dışı bırakmak sorunu çözmüyor. Riskten tamamen korunmak için uygulamanın ya güncellenmesi ya da kaldırılması şart. Güncel ve güvenli sürüm olan 26.4.303, Nextcloud 30 veya üzeri sürümleri gerektiriyor. Bu bilgi, özellikle eski Nextcloud sürümlerini kullananlar için hayati önem taşıyor.

Yöneticilerin ilk adımı, Nextcloud kurulumlarının ve Collabora Online – Built-in CODE Server uygulamasının güncel durumunu kontrol etmektir. Nextcloud arayüzünden “Uygulamalar” bölümüne giderek Collabora uygulamasının versiyon numarasını kontrol edebilir ve bir güncelleme olup olmadığını görebilirsiniz. Eğer uygulamanız 26.4.302 veya daha eski bir sürümdeyse, derhal güncelleme yapmanız veya uygulamayı kaldırmanız zorunludur. Güncelleme işlemi öncesinde olası veri kaybını önlemek adına tam bir yedekleme yapılması şiddetle tavsiye edilir.

Nextcloud 29 ve önceki sürümler artık ömrünü tamamlamış durumda ve uygulama mağazası hala bu eski sürümlere etkilenen Collabora uygulamasının eski bir versiyonunu sunuyor. Bu nedenle, Nextcloud’un daha eski sürümlerini kullanan kullanıcıların ya Nextcloud kurulumlarını Nextcloud 30 veya üzerine yükseltmeleri ya da Collabora Online – Built-in CODE Server uygulamasını tamamen kaldırmaları gerekiyor. Bu adımlar, sunucularınızın olası saldırılara karşı savunmasız kalmasını engellemenin tek yolu.

Güncelleme veya kaldırma işleminden sonra bile, sunucunuzda potansiyel web shell’lerin veya diğer kötü amaçlı dosyaların kalmadığından emin olmak için kapsamlı bir kontrol yapılması önemlidir. Sunucu günlük dosyaları (Apache/Nginx erişim günlükleri, PHP-FPM günlükleri) anormal istekler veya şüpheli dosya yüklemeleri açısından incelenmeli, dosya sistemi bütünlük kontrolleri (örneğin Tripwire veya AIDE gibi araçlarla) yapılmalıdır. Böylece, zafiyetin kötüye kullanılıp kullanılmadığı ve kalıcı bir arka kapı bırakılıp bırakılmadığı tespit edilebilir.

Yerleşik Çözümlerin Güvenlik Paradoksu

Nextcloud platformunda ortaya çıkan bu Nextcloud sunucu açığı, yerleşik veya üçüncü taraf eklentilerin getirdiği güvenlik risklerine dair önemli bir ders niteliğinde. Kullanım kolaylığı sunan entegre çözümler, bazen beklenmedik güvenlik açıklarıyla birlikte gelebiliyor. Nextcloud gibi açık kaynaklı ve modüler sistemlerde, her bir bileşenin güncel ve güvenli kalması büyük önem taşıyor. Özellikle “test amaçlı” veya “üretim dışı” ibareleriyle sunulan uygulamaların, gözden kaçan güvenlik riskleri barındırabileceği ve dikkatli kullanılmaları gerektiği bu olayla bir kez daha kanıtlanmış oluyor.

Bu olay, sadece bireysel uygulamaların değil, aynı zamanda yazılım tedarik zincirinin genel güvenliğinin ne kadar kritik olduğunu bir kez daha ortaya koyuyor. Nextcloud gibi platformlar, birçok farklı projenin entegrasyonuyla oluşur ve her bir bileşenin kendi içinde güvenlik riskleri taşıması mümkündür. Geliştiricilerin güvenlik pratikleri, hızlı yama süreçleri ve şeffaf iletişim kanalları, bu tür riskleri minimize etmede hayati rol oynar. Kullanıcıların da yalnızca güvenilir kaynaklardan eklentiler indirmesi ve geliştirici topluluklarının güvenlik uyarılarını yakından takip etmesi gerekmektedir.

Siber güvenlik dünyasında, sistemlerin sürekli olarak güncel tutulması, zafiyet yamalarının hızla uygulanması ve kullanılan tüm bileşenlerin titizlikle denetlenmesi vazgeçilmez bir pratik. Bu olay, bulut tabanlı dosya senkronizasyonu ve paylaşım platformlarının karmaşık yapısında, küçük bir eklentinin dahi tüm sistemi riske atabileceğini gösteriyor. Kurumsal ve bireysel kullanıcıların, kullandıkları yazılımların tüm bileşenlerini anlamaları ve güvenlik uyarılarını ciddiyetle takip etmeleri, dijital varlıklarını korumanın temelini oluşturuyor.