CVE-2026-110447 trên Nextcloud: vá Built-in CODE Server

Một doanh nghiệp có thể vừa khởi động lại máy chủ Nextcloud để bảo trì, rồi vô tình mở đúng điều kiện cho lỗ hổng nghiêm trọng trong bộ soạn thảo văn phòng tích hợp. Điều quản trị viên cần biết ngay: CVE-2026-110447 đã có bằng chứng bị khai thác thực tế, nhưng chỉ ảnh hưởng một kiểu triển khai Collabora cụ thể, không phải mọi máy chủ Nextcloud.

CVE là mã nhận diện lỗ hổng công khai. Ngày 23/10/2026, CISA đưa CVE-2026-110447 vào danh mục KEV, tức danh sách các lỗi đã được ghi nhận bị khai thác ngoài thực tế. Hạn xử lý CISA đặt cho cơ quan liên bang Mỹ là 26/10/2026; doanh nghiệp Việt Nam không chịu hạn này nhưng nên dùng nó như tín hiệu ưu tiên khẩn cấp.

Phạm vi nào thực sự bị ảnh hưởng?

Theo GitHub Advisory Database, lỗi nằm trong ứng dụng richdocumentscode, còn gọi là Collabora Online Built-in CODE Server, ở các phiên bản trước 26.4.303. Điểm CVSS được công bố là 9,2/10, mức nghiêm trọng. Lỗi chèn lệnh hệ điều hành xuất hiện trong proxy.php khi CODE Server không chạy, chẳng hạn ngay sau khi máy chủ vừa khởi động lại hoặc tiến trình gặp sự cố.

Máy chủ Collabora Online cài độc lập không nằm trong phạm vi này. Nextcloud chỉ dùng Collabora qua Docker, gói hệ điều hành hoặc dịch vụ bên ngoài cũng không đồng nghĩa bị ảnh hưởng. Vì vậy, đừng vá theo tên sản phẩm chung; hãy xác định máy có cài và đang dùng richdocumentscode hay không.

Vì sao điều kiện “CODE Server không chạy” đáng chú ý?

Điều kiện này khiến cửa sổ rủi ro dễ xuất hiện đúng lúc đội vận hành đang bảo trì, nâng cấp hoặc khôi phục sự cố. Kẻ tấn công không cần chờ dịch vụ ổn định; chúng có thể quét các địa chỉ Nextcloud công khai và thử khai thác khi thành phần CODE đang dừng. Nếu thành công, chèn lệnh hệ điều hành có thể dẫn tới cài mã độc, tạo web shell hoặc lấy dữ liệu trong quyền của tiến trình web.

Đó là mô tả khả năng của lớp lỗi, không phải kết luận rằng máy chủ của bạn đã bị xâm nhập. CISA xác nhận hoạt động khai thác đối với lỗ hổng, còn việc một hệ thống cụ thể có bị ảnh hưởng phải dựa trên phiên bản, cấu hình và bằng chứng nhật ký.

Checklist xử lý cho quản trị viên Nextcloud

1. Lập danh sách tất cả máy Nextcloud công khai, gồm máy chính, môi trường thử nghiệm và bản sao khôi phục có thể truy cập Internet.
2. Kiểm tra ứng dụng richdocumentscode và ghi lại phiên bản. Nếu dưới 26.4.303, coi đây là ưu tiên cao.
3. Sao lưu cấu hình, cơ sở dữ liệu và vùng dữ liệu theo quy trình hiện có; kiểm tra khả năng khôi phục trước khi thay đổi.
4. Nâng Built-in CODE Server lên 26.4.303 hoặc mới hơn. Nếu không còn nhu cầu, gỡ thành phần theo hướng dẫn của nhà cung cấp thay vì chỉ che đường dẫn.
5. Sau nâng cấp, xác minh bộ soạn thảo mở được tài liệu, quyền chia sẻ không thay đổi và phiên bản thực tế trên từng nút đã đồng nhất.
6. Rà soát nhật ký web, nhật ký Nextcloud và thay đổi file trong khoảng từ đầu tháng 9/2026 đến nay; chú ý tiến trình con bất thường từ web server, file PHP lạ và kết nối ra ngoài không quen thuộc.
7. Nếu thấy dấu hiệu xâm nhập, cô lập máy, giữ bản sao nhật ký, xoay khóa truy cập và làm theo quy trình VPS nghi bị xâm nhập.

Giảm rủi ro trong lần bảo trì tiếp theo

Đội vận hành nên giới hạn trang quản trị theo VPN hoặc danh sách IP cho phép, đặt giám sát khi tiến trình CODE dừng và theo dõi tính toàn vẹn của file ứng dụng. Nếu Nextcloud phục vụ khách hàng bên ngoài, hãy thử bản vá trên bản sao có dữ liệu mẫu trước, nhưng không kéo dài cửa sổ phơi nhiễm chỉ để chờ một lịch bảo trì định kỳ.

Với cụm nhiều nút, cần kiểm tra từng máy chứ không chỉ giao diện quản trị chung. Một nút còn gói cũ vẫn có thể trở thành điểm vào. Nếu dùng ảnh máy ảo hoặc mẫu container, cập nhật cả mẫu để lần mở rộng sau không đưa phiên bản lỗi trở lại.

Câu hỏi thường gặp

Nguồn tham khảo

• GitHub Advisory Database, công bố 14/10 và cập nhật 23/10/2026
• CISA KEV, mục CVE-2026-110447 được thêm ngày 23/10/2026
• Trao đổi cộng đồng Nextcloud về phạm vi và phiên bản sửa

Nếu bạn quản trị Nextcloud trên VPS và cần rà soát kế hoạch nâng cấp, hãy gửi phiên bản Nextcloud, phiên bản richdocumentscode, mô hình Collabora và phạm vi truy cập Internet tới hotro@thuemaychu.vn. Đội kỹ thuật sẽ dựa trên thông tin đó để trao đổi cách cô lập, sao lưu và kiểm thử phù hợp; email không thay thế dịch vụ ứng cứu sự cố chuyên sâu.