Kalau kantor Anda memakai Nextcloud untuk berbagi dokumen dan mengedit file Excel atau Word langsung dari browser, ada satu aplikasi tambahan yang perlu diperiksa hari ini. Badan keamanan siber Amerika Serikat (CISA) baru memasukkan celah CVE-2026-110447 ke daftar Known Exploited Vulnerabilities karena sudah benar-benar dipakai menyerang server di lapangan. Celah ini bukan di Nextcloud-nya, melainkan di aplikasi Collabora Online – Built-in CODE Server (nama paketnya richdocumentscode), yang diinstal banyak instansi dan sekolah supaya bisa mengedit dokumen tanpa server Collabora terpisah.

Yang membuatnya berbahaya: penyerang tidak perlu login. Cukup satu permintaan HTTP ke file proxy.php milik aplikasi tersebut, dan perintah sistem ikut dijalankan di server dengan hak akun web server. Dari situ penyerang memasang web shell untuk mengintai server, mencari simpanan kredensial, data password manager, sampai dompet kripto.

Apa yang sebenarnya terjadi

Menurut laporan The Hacker News dan advisory resmi Collabora, tiga administrator melaporkan serangan ini di GitHub, dengan percobaan pertama tercatat 10 September 2026. Skrip proxy.php bertugas menyalakan server CODE lokal setiap ada permintaan masuk ketika server sedang tidak berjalan. Masalahnya, di versi sampai 26.4.302 isi permintaan—termasuk bagian path—dimasukkan ke dalam perintah bash yang memakai tanda kutip ganda, sehingga karakter $(...) tetap dieksekusi oleh shell. Itulah pintu masuk remote code execution dengan skor CVSS 9,2 (kritis).

Karena skrip hanya menyusun perintah saat server CODE perlu dinyalakan, jendela serangannya muncul ketika server sedang mati sebentar: restart container, proses upgrade, atau crash. Artinya serangan bisa terjadi tanpa Anda sadari, di sela-sela pekerjaan rutin.

Satu hal penting yang sering disalahpahami: mematikan aplikasi saja tidak cukup. Collabora menegaskan aplikasi harus diperbarui ke versi 26.4.303 atau lebih baru, atau dihapus sama sekali. Versi perbaikan itu mensyaratkan Nextcloud 30 atau lebih baru. Sementara Nextcloud 29 ke bawah sudah end of life dan app store masih menyajikan versi rentan untuk mereka.

Yang tidak terdampak: server Collabora Online yang berdiri sendiri (Docker, paket Linux, atau hosting), dan instalasi yang hanya memakai aplikasi Nextcloud Office (richdocuments) tanpa aplikasi built-in ini.

Cek apakah server Anda terdampak

Jalankan dari direktori instalasi Nextcloud (biasanya /var/www/nextcloud) sebagai user web server:

1. Cek daftar aplikasi: sudo -u www-data php occ app:list | grep -i richdocuments. Kalau muncul richdocumentscode, berarti aplikasi built-in CODE terpasang.
2. Cek versinya: sudo -u www-data php occ app:info richdocumentscode atau baca apps/richdocumentscode/appinfo/info.xml dan lihat tag <version>.
3. Cek versi Nextcloud: sudo -u www-data php occ status. Jika masih 29 atau lebih lama, prioritas pertama adalah menaikkan Nextcloud.

Cara menambal

1. Perbarui aplikasi. Buka Settings → Apps → Your apps, cari Collabora Online – Built-in CODE Server, lalu update. Lewat terminal: sudo -u www-data php occ app:update richdocumentscode. Pastikan versi akhirnya minimal 26.4.303.
2. Kalau tidak bisa update, hapus. Aplikasi ini memang ditujukan untuk pengujian lokal dan tim kecil, bukan produksi. Untuk kebutuhan kantor, lebih aman memakai Nextcloud Office yang terhubung ke server Collabora Online terpisah: sudo -u www-data php occ app:remove richdocumentscode, lalu pasang richdocuments dan arahkan ke server Collabora Anda.
3. Kalau Nextcloud masih 29 ke bawah, jadwalkan upgrade ke 30+ lebih dulu, baru perbarui aplikasinya. Jangan menunda: versi lama tidak akan pernah menerima perbaikan.
4. Batasi akses ke proxy.php sebagai pengaman tambahan selama proses upgrade, misalnya dengan aturan nginx yang menolak permintaan langsung ke /apps/richdocumentscode/proxy.php dari luar, atau menutup akses aplikasi lewat Settings → Apps bila memang tidak dipakai (tetap harus dihapus, bukan hanya dimatikan).

Cari jejak web shell

Kalau server Anda sempat memakai aplikasi ini dalam versi lama, lakukan pemeriksaan forensik ringan. Cari file PHP yang baru berubah di folder data dan unggahan, serta pola khas web shell:

• find /var/www/nextcloud -name "*.php" -newermt "2026-09-01" -ls untuk melihat file PHP baru di luar folder aplikasi resmi.
• Periksa folder data/ dan direktori unggahan pengguna—file .php di sana hampir selalu mencurigakan.
• Cari pola eval(, base64_decode(, shell_exec(, atau system( pada file yang tidak Anda kenali.
• Audit log web server untuk permintaan ke proxy.php dengan karakter aneh seperti $(, %24%28, atau ; di URL.
• Ganti semua kredensial yang tersimpan di server tersebut: akun admin Nextcloud, kredensial basis data, kunci API, dan token aplikasi.

Jangan lupakan VeloCloud

Di hari yang sama CISA juga menambahkan CVE-2026-114625 (CVSS 9,9) pada Arista VeloCloud Orchestrator versi on-premise: sebuah SQL injection yang memungkinkan penyerang mengakses fungsi internal istimewa. Syaratnya, penyerang harus punya akses jaringan ke antarmuka web VCO dan sesi login yang sah—peran terendah yang cukup adalah Enterprise Read Only. Artinya kebocoran satu akun baca saja sudah cukup.

Arista menyebut celah ini sudah dieksploitasi aktif dan menunjuk dua alamat IP yang berlokasi di Jepang. Perbaikannya ada di versi 5.2.3.18, 6.1.3.10, dan 6.4.2.12. Ini merupakan kerentanan ketiga di produk yang sama yang dipakai menyerang sejak Juli 2026, setelah dua celah berskor 10,0 sebelumnya.

Langkah praktis minggu ini

• Buat daftar semua server Nextcloud di lingkungan Anda, catat versi Nextcloud dan ada/tidaknya richdocumentscode.
• Update aplikasi ke 26.4.303+ atau hapus, lalu verifikasi ulang lewat occ app:info.
• Periksa log proxy.php sejak 10 September 2026 dan scan file PHP baru.
• Kalau memakai VeloCloud on-premise, patch ke versi yang disebut di atas dan putar ulang kredensial akun VCO.
• Untuk ke depan: hindari aplikasi Nextcloud berlabel “pengujian lokal” di server produksi, dan aktifkan pembaruan otomatis untuk aplikasi pihak ketiga.

Bagi instansi pemerintah, desa, dan sekolah yang mengelola Nextcloud sendiri, celah seperti ini adalah pengingat bahwa risiko terbesar sering datang dari aplikasi tambahan, bukan dari sistem utamanya. Satu aplikasi kecil yang lupa diperbarui bisa membuka seluruh server. Tim easystem siap membantu audit versi, penambalan, dan pemeriksaan jejak serangan pada server Nextcloud Anda.

Sumber: The Hacker News – CISA Flags Two Actively Exploited Critical Flaws in Collabora Online and Arista VeloCloud, The Hacker News – Hackers Backdoor Nextcloud Servers Through Critical Flaw in Collabora’s Built-in CODE App, CISA KEV Catalog.