Celah Add-on Nextcloud Office: Cek Server Anda

Sejak sekitar 10 September 2026, penyerang menanam pintu belakang tersembunyi di server Nextcloud lewat satu add-on: "Collabora Online – Built-in CODE Server" versi 26.4.302 ke bawah. Perbaikannya, versi 26.4.303, sudah keluar 11 September. Perbarui atau hapus add-on itu, karena menonaktifkannya saja tidak cukup. Setelah itu, cari sisa berkas bernama shx*.php.

Nextcloud adalah platform berbagi berkas yang dipasang di server sendiri, biasanya sebagai pengganti Google Drive atau OneDrive. Add-on ini jalan pintas supaya karyawan bisa membuka dan menyunting berkas Word atau Excel langsung di browser. Kalau perusahaan Anda, atau penyedia IT Anda, memilih jalan pintas itu, artikel ini perlu Anda baca.

Bagaimana kronologinya?

Yang janggal dari kasus ini adalah urutannya. Perbaikan keluar lebih dulu tanpa banyak suara. Peringatan resminya baru menyusul sebulan kemudian.

CVE adalah nomor identitas publik untuk setiap celah keamanan. Kebanyakan dasbor patch dan pemindai kerentanan baru bereaksi setelah nomor itu ada. Artinya, selama 33 hari antara rilis perbaikan dan terbitnya CVE, alat-alat itu diam saja, padahal penyerang sudah bergerak.

Kenapa add-on untuk dokumen bisa jadi pintu masuk?

Add-on ini membawa mesin office Collabora sendiri dan menyalakannya dari dalam Nextcloud. Bayangkan resepsionis yang menelepon bagian arsip setiap kali tamu minta dokumen. Saat bagian arsip sedang tutup, resepsionis itu bisa dikelabui untuk membacakan pesan titipan tamu, dan seisi gedung menurut.

Istilah teknisnya command injection: teks dari permintaan web ikut masuk ke perintah yang dijalankan server. Menurut advisori, celah ini hanya bisa dipakai ketika mesin office bawaan sedang mati, misalnya setelah restart, upgrade, atau crash. Penyerang tidak perlu akun, dan tidak perlu ada pengguna yang mengeklik apa pun.

Penyerang memanfaatkannya untuk menaruh web shell, yaitu halaman web kecil tersembunyi yang menjalankan perintah apa saja yang mereka kirim. Dari laporan di utas GitHub, langkah berikutnya adalah mencari berkas brankas pengelola kata sandi (*.kdbx), dompet kripto, dan kunci-kunci lain yang tersimpan.

Perintah itu berjalan dengan akun milik web server, bukan akun administrator penuh. Meski begitu, dampaknya tetap besar. Akun yang sama bisa membaca berkas konfigurasi Nextcloud, tempat kata sandi database, akun email, dan kunci penyimpanan disimpan. Akun itu juga bisa membaca semua berkas yang disimpan Nextcloud.

Kenapa menonaktifkan add-on tidak menolong?

Advisorinya tegas soal ini. Menonaktifkan add-on lewat halaman admin Nextcloud tidak menutup celah. Aplikasi yang dinonaktifkan tetap ada di disk, dan berkas yang rentan masih bisa dipanggil langsung dari web. Hanya ada dua kondisi aman: versi 26.4.303 ke atas, atau add-on benar-benar dihapus dari server.

Instalasi Nextcloud lama punya masalah tambahan. Sejak versi 26.4.302, add-on ini butuh Nextcloud 30 ke atas, sedangkan Nextcloud 29 ke bawah sudah tidak mendapat perbaikan. Perusahaan yang masih tertahan di versi lama tidak bisa sekadar memperbarui add-on. Nextcloud-nya harus dinaikkan dulu, atau add-on-nya dihapus.

Apa yang perlu dicek minggu ini?

Kerjakan berurutan. Langkah 1 sampai 3 hanya membaca, jadi aman dijalankan di server yang sedang dipakai.

1. Apakah add-on terpasang, dan versi berapa? Buka halaman Apps di Nextcloud dan cari "Collabora Online – Built-in CODE Server", atau minta admin menjalankan perintah di bawah.
2. Apakah ada berkas asing di folder add-on? Nextcloud menandatangani aplikasinya secara digital, jadi ia bisa menunjukkan berkas mana yang bukan kiriman pengembang.
3. Apakah log memperlihatkan pola serangan? Telusuri log web server sejak 10 September untuk permintaan ke proxy.php yang memuat %2e%2e, $(, %24%28, atau ${IFS}.
4. Perbarui ke 26.4.303 ke atas, atau hapus add-on. Kalau dihapus, pastikan folder apps/richdocumentscode memang sudah hilang.
5. Hapus sisa berkas pintu belakang, walaupun sudah memperbarui. Pengembang Collabora secara khusus mengingatkan hal ini pada 18 September, karena pembaruan tidak menyentuh berkas yang sudah ditanam penyerang.

# Jalankan sebagai user web server dari folder Nextcloud
php occ app:list | grep -i richdocumentscode
php occ integrity:check-app richdocumentscode   # cari EXTRA_FILE
find apps/richdocumentscode \( -name 'sh*.php' -o -name 'Nx_*.php' \)
grep -E 'proxy\.php.*(%2e%2e|\$\(|%24%28|IFS)' /var/log/nginx/access.log*

Nama berkas yang sudah ditemukan antara lain shx diikuti karakter acak, shrf4645.php, dan Nx_33143.php. Anggap saja setiap berkas PHP yang tidak bisa Anda jelaskan asal-usulnya sebagai mencurigakan. Satu catatan: kalau log server dirotasi tiap satu atau dua minggu, hasil pencarian yang bersih hampir tidak membuktikan apa-apa untuk bulan September.

Bagaimana kalau pintu belakang ditemukan?

Server itu harus dianggap sudah dibobol, bukan sekadar "sudah ditambal". Pintu belakang tadi memberi orang lain jangkauan yang sama dengan Nextcloud sendiri.

• Ganti semua rahasia yang bisa dibaca server: kata sandi database, isi config.php, akun email, kunci penyimpanan objek, app password, dan token API apa pun.
• Cari perubahan lain: user admin baru, berkas baru di luar folder add-on, atau koneksi keluar yang tidak dikenal.
• Pulihkan dari backup sebelum 10 September, atau minta pihak luar memeriksa pembersihannya. Menghapus satu berkas tidak membuktikan tidak ada yang tertinggal.
• Cek kewajiban pemberitahuan. Bila server itu menyimpan data pribadi pelanggan atau karyawan, Pasal 46 UU PDP mewajibkan pemberitahuan tertulis kepada pemilik data dan lembaga pengawas paling lambat 3×24 jam sejak terjadi kegagalan pelindungan. Taruhannya saya bahas di artikel UU PDP.

Sepadankah kemudahan versi bawaan?

Add-on bawaan ini dibuat agar tim kecil bisa menyunting dokumen tanpa mengurus server kedua. Kemudahan itu sekaligus sumber risikonya. Peluncur mesin office tinggal di aplikasi web yang sama dengan tempat semua berkas Anda disimpan. Advisori Collabora juga menyebut server Collabora yang dijalankan terpisah tidak terdampak celah ini.

Untuk tim lima orang yang sedang mencoba Nextcloud, versi bawaan masih wajar. Untuk perusahaan yang menyimpan kontrak, data gaji, atau data pelanggan di Nextcloud, saya menyarankan server Collabora terpisah yang tidak bisa diakses langsung dari internet. Tambahan kerjanya cuma satu layanan lagi yang perlu diperbarui. Itu jauh lebih murah daripada pembersihan seperti di atas.

Kenapa menunggu CVE bukan kebijakan patch

Kasus ini bukan pengecualian. Laporan State of Exploitation 2026 dari VulnCheck, terbit 21 Januari 2026, mencatat 884 celah yang pertama kali terlihat dieksploitasi sepanjang 2025. Sebanyak 28,96% di antaranya sudah diserang pada hari CVE-nya terbit atau lebih awal. Jadi lebih dari satu dari empat celah tidak memberi waktu sedikit pun bagi tim yang hanya memantau CVE.

Untuk software yang dipasang sendiri, "rajin memperbarui" perlu dimaknai ulang:

• Aktifkan pembaruan aplikasi di Nextcloud dan pasang dalam hitungan hari, jangan menunggu jadwal perawatan per kuartal.
• Ikuti langsung proyek yang Anda pakai: catatan rilis, issue di GitHub, dan forum vendor. Sinyal publik pertama kasus ini adalah issue GitHub pada 11 September, bukan CVE.
• Catat semua add-on yang terpasang dan buang yang tidak dipakai. Setiap add-on adalah kode yang berjalan dengan akses ke seluruh berkas Anda.
• Jauhkan halaman admin dan add-on dari internet terbuka bila memungkinkan, misalnya di balik VPN. Pelajarannya sama dengan serangan ke konsol backup AhsayCBS awal bulan ini.

Kalau Nextcloud Anda dikelola vendor atau penyedia IT, ajukan tiga pertanyaan minggu ini. Versi add-on berapa yang terpasang sejak September sampai sekarang? Apakah hasil cek integritasnya bersih? Berapa lama log web server disimpan? Penyedia yang bisa menjawab ketiganya dalam sehari memang mengelola server Anda. Yang tidak bisa, sebenarnya hanya menyewakan tempat.