Mnoho firiem, kancelárií aj technicky zdatných domácností si namiesto verejných cloudových služieb zvolilo vlastné úložisko postavené na Nextcloude. Dôvod je jasný: dáta zostávajú na vlastnom serveri alebo NAS-e a nie u cudzej korporácie. V polovici októbra 2026 sa však ukázalo, že aj „vlastný cloud“ môže byť otvorenými dverami. Útočníci zneužívajú kritickú chybu v doplnku, ktorý do Nextcloudu pridáva kancelársky balík na úpravu dokumentov priamo v prehliadači, a na napadnuté servery si nechávajú zadné vrátka.

Čo sa stalo

Zraniteľnosť dostala označenie CVE-2026-110447 a týka sa aplikácie Collabora Online – Built-in CODE Server (interný názov richdocumentscode). Ide o vstavaný dokumentový server, ktorý si správcovia často inštalujú jedným kliknutím, aby mohli používatelia otvárať a upravovať súbory Word či Excel priamo v Nextcloude.

Podľa zverejnených informácií chyba umožňovala útočníkovi bez prihlásenia podstrčiť serveru vlastné príkazy cez špeciálne upravenú požiadavku. Podmienkou bolo, aby lokálny dokumentový server práve nebežal – napríklad po reštarte, aktualizácii alebo páde. To sa v praxi stáva častejšie, než by si človek myslel.

Časová os je znepokojivá:

• 9. septembra 2026 bola oprava zapísaná do kódu,
• 10. septembra správcovia zaznamenali prvé útoky,
• 11. septembra vyšla opravená verzia 26.4.303,
• 3. októbra komunita Nextcloudu vyzývala na okamžitú aktualizáciu kvôli prebiehajúcemu zneužívaniu,
• oficiálne bezpečnostné upozornenie a CVE boli zverejnené až 14. októbra, teda viac než štyri týždne po oprave.

Čo útočníci na serveroch robili

Správcovia napadnutých inštalácií opísali, že útočníci do priečinka aplikácie nahrali malé PHP skripty, takzvané webshelly. Ide o nenápadný súbor, cez ktorý môže útočník kedykoľvek neskôr ovládať server na diaľku – aj keď je medzitým pôvodná chyba opravená. Na niektorých serveroch potom hľadali databázy správcov hesiel a súbory kryptomenových peňaženiek.

Niektorí používatelia hlásili aj súvislosť s ransomvérom, teda vydieračským softvérom, ktorý šifruje dáta. Toto tvrdenie však zatiaľ nebolo nezávisle potvrdené. V preskúmaných záznamoch sa podľa správ nenašli známky toho, že by útočníci získali práva správcu systému (root), no všetko, čo mohol čítať webový server – teda typicky aj uložené súbory používateľov – treba považovať za potenciálne vyzradené.

Prečo sa oneskorené upozornenie počíta

Kým nie je zraniteľnosť oficiálne zverejnená, mnohé automatické bezpečnostné nástroje a menší správcovia o nej jednoducho nevedia. Nextcloud uviedol, že odklad mal dať používateľom čas na aktualizáciu. Collabora zdržanie pripísala preťaženiu spracovania CVE na GitHube. Pre bežnú firmu, ktorá server aktualizuje „keď je čas“, to však znamenalo týždne rizika bez jasného varovania.

Dopad na bezpečnosť a obnovu dát

Táto udalosť dobre ilustruje, že únik alebo strata dát nemusí prísť cez poruchu disku. Útočník so zadnými vrátkami na súborovom serveri môže dáta kopírovať, meniť, mazať alebo zašifrovať. A ak server zároveň slúži ako jediné miesto, kde sú firemné dokumenty uložené, každá taká akcia zasiahne celé dáta naraz.

Dôležité je pochopiť, že synchronizácia nie je záloha. Nextcloud verne kopíruje zmeny medzi serverom a počítačmi používateľov. Ak sa súbory na serveri zašifrujú alebo vymažú, rovnaká zmena sa môže rozšíriť aj do všetkých pripojených zariadení.

Praktické rady pre správcov a firmy

• Skontrolujte verziu aplikácie Collabora Online – Built-in CODE Server a aktualizujte ju na 26.4.303 alebo novšiu. Ak ju nepotrebujete, aplikáciu odstráňte – samotné vypnutie podľa výrobcu nestačí.
• Hľadajte stopy po útoku: neznáme PHP súbory v priečinku aplikácie a podozrivé požiadavky v prístupových logoch od 10. septembra.
• Zmeňte heslá a prístupové údaje, ku ktorým mohol mať webový server prístup.
• Dodržiavajte pravidlo 3-2-1: tri kópie dát, na dvoch rôznych typoch médií, jedna mimo firmy alebo offline.
• Používajte nemenné (immutable) alebo odpojené zálohy, ktoré útočník z napadnutého servera nedokáže prepísať ani zmazať.
• Pravidelne skúšajte obnovu – záloha, z ktorej sa nikdy neobnovovalo, je len predpoklad.

Varovné príznaky

• súbory s neznámymi príponami alebo nečitateľným obsahom,
• náhle vyťaženie disku alebo procesora bez zjavnej príčiny,
• chýbajúce priečinky, prepísané verzie dokumentov, textové súbory s výkupným,
• neznáme súbory v adresároch aplikácií.

Čo nerobiť, ak máte podozrenie na napadnutie

• Nepreinštalujte hneď server ani neformátujte disky – zničíte dôkazy aj šancu na obnovu pôvodných dát.
• Neobnovujte zálohu na ten istý napadnutý systém, kým nie je vyčistený, inak môže byť zašifrovaná aj záloha.
• Nespúšťajte „zázračné“ dešifrovacie nástroje z internetu – môžu dáta poškodiť natrvalo.
• Server odpojte od siete, nie od napájania, a zdokumentujte, čo vidíte.

Keď dáta predsa zmiznú

Vlastný cloud dáva firmám kontrolu nad dátami, no zároveň aj zodpovednosť za ich bezpečnosť. Ak ste o súbory prišli – či už po útoku, nevydarenej aktualizácii, alebo poruche disku v serveri či NAS-e – obráťte sa na odborníkov na www.zachranaudajov.sk. Neskúšajte svojpomocné opravy ani opakované reštarty a obnovy; každý ďalší zásah môže poškodenie zhoršiť a znížiť šancu na úspešnú záchranu dát.

Zdroj: BleepingComputer – Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers; doplnkovo The Hacker News