Nextcloud: Angreifer legen Webshells über Collabora Built-in CODE ab
Collabora hat am 14. Oktober die kritische Lücke CVE-2026-110447 in der Nextcloud-App Collabora Online Built-in CODE Server veröffentlicht. Angreifer haben darüber bereits seit September Webshells auf Nextcloud-Servern platziert. Admins sollten die App aktualisieren oder entfernen und nach Spuren suchen.
Angreifer haben über eine Lücke in der Nextcloud-App „Collabora Online Built-in CODE Server“ Webshells auf Nextcloud-Servern abgelegt. Collabora hat die Schwachstelle am 14. Oktober 2026 als CVE-2026-110447 mit einem GitHub-Advisory öffentlich gemacht und als kritisch eingestuft. Der Fehler erlaubt eine Befehlsausführung ohne Anmeldung, allerdings nur in einem bestimmten Zeitfenster. Behoben ist er in Version 26.4.303 der App, die bereits am 11. September erschien.
Betroffen sind nur Nextcloud-Installationen, auf denen die App mit dem Paketnamen richdocumentscode installiert ist. Wer Nextcloud Office mit einem eigenständigen Collabora-Server in Docker, aus Linux-Paketen oder bei einem Hoster betreibt, ist nicht betroffen. Admins mit der Built-in-App sollten heute die Version prüfen, aktualisieren oder die App entfernen und anschließend nach Spuren eines Einbruchs suchen. Deaktivieren allein genügt laut Collabora nicht.
Was ist passiert?
Die App lädt eine Collabora Online Development Edition (CODE) herunter und startet sie direkt auf dem Nextcloud-Server. Das Skript proxy.php startet den lokalen CODE-Server, sobald eine Anfrage eintrifft und kein Dienst läuft. Bis Version 26.4.302 landeten dabei Teile der Anfrage in einem Bash-Befehl, sodass eingeschleuste Befehle mit den Rechten des Webserver-Kontos liefen. Ausnutzbar ist das nur, solange der CODE-Server nicht läuft, also etwa bei einem Container-Neustart, einem Upgrade oder nach einem Absturz.
Im Issue-Tracker des Projekts meldete ein Administrator am 11. September, dass mehrere seiner Server angegriffen wurden. Laut The Hacker News zeigen seine Logs Anfragen vom 10. und 11. September an proxy.php?status, alle Server liefen mit 26.4.302. Die Angreifer legten eine einzeilige PHP-Webshell im App-Ordner ab und suchten anschließend nach Passwortdatenbanken und Krypto-Wallets. Zwei weitere Administratoren meldeten gleichartige Einbrüche. Hinweise auf erlangte Root-Rechte gibt es in den Berichten nicht. Der CVE-Eintrag spricht von Ausnutzung im September und Oktober 2026.
Wer ist betroffen?
- Alle Versionen von richdocumentscode vor 26.4.303 sind verwundbar.
- Die korrigierte Version setzt Nextcloud 30 oder neuer voraus. Nextcloud 29 und älter ist ohne Support und erhält aus dem App Store weiterhin eine verwundbare Version.
- Eine nur deaktivierte App bleibt angreifbar, weil das Skript direkt vom Webserver ausgeführt wird und keinen Nextcloud-Code lädt.
- Nicht betroffen sind eigenständige Collabora-Online-Server und Installationen, die nur die App Nextcloud Office (richdocuments) ohne den Built-in-Server nutzen.
Die App ist laut eigener Store-Beschreibung für Tests, private Nutzung und kleine Teams gedacht. Genau dort kommt sie aber häufig produktiv zum Einsatz, weil sie keinen separaten Office-Server erfordert.
Wie kritisch ist das?
Das GitHub-Advisory GHSA-g3vx-3m76-fghh bewertet die Lücke mit CVSS 4.0 und 9,2 Punkten (kritisch). Es handelt sich um eine OS Command Injection nach CWE-78, die ohne Anmeldung aus dem Netz ausnutzbar ist. Die Bedingung, dass der CODE-Server gerade nicht läuft, senkt die Hürde nur wenig, denn Neustarts und Updates sind alltäglich. Mit der Webshell kann ein Angreifer alles lesen, was das Webserver-Konto lesen darf, also in der Regel auch die Nextcloud-Konfiguration mit Datenbankzugang und die gespeicherten Dateien.
Die Lücke ist eine andere als die im Dezember 2025 behobene CVE-2025-66208 im selben Skript. Deren Fix schützt nicht vor dem neuen Angriff. Die nachfolgende Version 26.4.402 vom 24. September startet laut Nutzerberichten in manchen Umgebungen nicht oder öffnet keine Dokumente. Mehrere Admins sind deshalb auf 26.4.303 zurückgegangen, die das Advisory als korrigierte Version nennt.
Was sollten Admins jetzt tun?
- In der App-Verwaltung oder per occ app:list prüfen, ob richdocumentscode installiert ist und welche Version vorliegt.
- Die App auf 26.4.303 oder neuer aktualisieren oder vollständig entfernen. Auf Nextcloud 29 und älter Nextcloud aktualisieren oder die App entfernen.
- Im Ordner apps/richdocumentscode und darüber hinaus nach Dateien nach dem Muster shx*.php suchen und gefundene Webshells sichern und entfernen.
- Die Integritätsprüfung von Nextcloud ausführen, sie meldete in einem Fall die neue PHP-Datei.
- Zugriffslogs mindestens ab dem 10. September nach Anfragen an proxy.php?status durchsuchen, deren Pfad %2e%2e, $( oder ${IFS} enthält.
- Systemlogs auf sudo-Versuche des Webserver-Kontos prüfen.
- Bei Fund alle Geheimnisse rotieren, die das Webserver-Konto lesen konnte, etwa Datenbankpasswort, Mail-Zugänge und App-Passwörter.
- Für produktive Umgebungen den Wechsel auf einen eigenständigen Collabora-Server planen.
Einordnung für Unternehmen
Für kleine Unternehmen ist Nextcloud oft der zentrale Dateiablageort, die Built-in-App der bequemste Weg zu Office im Browser. Problematisch an diesem Fall ist der Zeitablauf: Der Fix kam am 11. September ohne Sicherheitshinweis, ein Forenbeitrag warnte am 3. Oktober, CVE und Advisory folgten erst am 14. Oktober. Wer Updates der App nicht automatisch einspielt, war damit über Wochen ohne Warnung angreifbar. Eine kompromittierte Nextcloud ist kein reines Webproblem, weil dort Kundendaten, Verträge und Zugangsdaten liegen.
Passende Anleitungen auf S-EDV
- Collabora Online mit Docker an Nextcloud anbinden: der nicht betroffene Weg mit eigenständigem Office-Server.
- Nextcloud AIO mit Docker einrichten: aktuelle Nextcloud-Version sauber betreiben und aktualisieren.
- Nextcloud nativ auf Ubuntu mit Nginx und PHP-FPM: Hintergrund zu Webserver-Konto, Rechten und Logs.
