CVE-2026-110447: Collabora Built-in CODE Server in Nextcloud

Was der Wert 9,2 hier praktisch heißt

Der CVSS-Wert 9,2 (nach CVSS 4.0) fällt hier in die Stufe „kritisch“. Praktisch bedeutet das: Ein Angreifer braucht kein Benutzerkonto und keinen Klick eines Mitarbeiters. Er schickt Anfragen über das Netzwerk an Ihren Nextcloud-Server und kann dort Befehle ausführen lassen. Das nennt man Codeausführung aus der Ferne.

Betroffen ist die Nextcloud-App „Collabora Online Built-in CODE Server“ vor Version 26.4.303. Die CVE-Beschreibung nennt Angriffe im September und Oktober 2026. Die CISA hat die Lücke am 23.10.2026 in ihren Katalog aktiv ausgenutzter Lücken aufgenommen. Das Reparaturdatum der Behörde ist der 26.10.2026.

So finden Sie heraus, ob Sie betroffen sind

Prüfen Sie zuerst, ob in Ihrer Nextcloud die App mit dem internen Namen richdocumentscode installiert ist. In einem Fehlerbericht im Projekt erscheint sie in der App-Liste als „richdocumentscode: 26.4.302“. Dort steht also die installierte Versionsnummer. Alles unter 26.4.303 ist verwundbar.

Nicht betroffen sind laut CVE-Beschreibung eigenständige Collabora-Online-Server. Ein Beitrag im Nextcloud-Forum nennt zudem als nicht betroffen: Installationen nur mit der App richdocuments, Collabora per Docker oder als Distributionspaket sowie gehostetes Collabora. Das ist eine Aussage aus der Nutzergemeinschaft, nicht vom Hersteller. Im Zweifel fragen Sie Ihren IT-Dienstleister.

Die Collabora-Entwickler schreiben im selben Fehlerbericht, die Lücke betreffe nur die Development Edition und nur diesen selteneren Betriebsmodus, in dem ein lokales AppImage geladen wird.

Wo das Produkt im Mittelstand läuft

Nextcloud dient vielen Betrieben als eigene Dateiablage und für gemeinsames Bearbeiten von Dokumenten. Die Built-in-Variante bringt den Office-Server als App gleich mit, damit kein zweiter Server nötig ist. Das ist bequem für kleine Installationen, etwa auf einem einzelnen Webserver im Büro oder bei einem Hoster. Nach unserer Einschätzung kommt dieser Modus eher in kleineren Umgebungen vor, deshalb setzen wir die Relevanz für den Mittelstand nur im mittleren Bereich an.

Wie die Schwachstelle funktioniert

In der Datei proxy.php der App steckt eine Befehlseinschleusung (englisch OS command injection, CWE-78). Die App nimmt Eingaben aus einer Anfrage und gibt sie an das Betriebssystem weiter, ohne sie sauber zu prüfen. Die Lücke tritt laut CVE-Beschreibung auf, wenn der CODE-Server gerade nicht läuft, etwa nach einem Neustart.

Im öffentlichen Fehlerbericht zeigen Protokollauszüge Anfragen an proxy.php?status mit verschleierten Befehlen. Die Angreifer legten damit PHP-Dateien im App-Ordner ab, sogenannte Webshells (Fernzugriff über eine Webseite). Diese laufen mit den Rechten des Webserver-Kontos und können alles lesen, was dieses Konto lesen darf.

Auch wer bereits aktualisiert hat, sollte nach solchen Dateien suchen. Ein Nutzer berichtet, dass die Integritätsprüfung von Nextcloud nach dem Update eine zusätzliche PHP-Datei im App-Ordner meldete.

Einordnung der Kennzahlen

Der EPSS-Wert beträgt 2,28 Prozent bei Perzentil 83. EPSS schätzt die Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen. Der Wert wirkt niedrig, ist hier aber nachrangig: Die Ausnutzung ist durch den Eintrag bei der CISA und durch Berichte betroffener Betreiber belegt. Entscheidend ist deshalb die Frage, ob die App bei Ihnen läuft. Konkrete Schritte stehen im Block „Mögliche Lösung“, weitere Angaben in der Kurzinfo weiter unten. ByePast unterstützt Sie gern bei der Inventur Ihrer Nextcloud-Apps und beim Update.