Collabora CODE Server in Nextcloud: Kritische Lücke wird ausgenutzt, Deaktivieren reicht nicht
CVE-2026-110447 (CVSS 9.2) im eingebauten Collabora CODE Server für Nextcloud wird ausgenutzt, Angreifer setzen Web Shells. Der Patch ist da: mindestens 26.4.303. Deaktivieren schützt nicht.
Die US-Cybersicherheitsbehörde CISA hat eine Lücke im eingebauten Collabora Online CODE Server für Nextcloud in ihren KEV-Katalog aufgenommen. KEV steht für „Known Exploited Vulnerabilities“, also Schwachstellen, die nachweislich schon angegriffen werden. Die Lücke heißt CVE-2026-110447, hat einen CVSS-Wert von 9.2 von 10 und erlaubt Code-Ausführung aus der Ferne, ohne dass sich der Angreifer anmelden muss.
Was sich seit meinem Post geändert hat
Als ich das Thema auf X und im WhatsApp-Kanal gepostet habe, war die Lage beim Patch noch unklar. Inzwischen ist sie es nicht mehr. Laut dem GitHub-Advisory von Collabora ist die Lücke ab Version 26.4.303 der App geschlossen. Außerdem gibt es einen wichtigen Hinweis, der vorher fehlte: Die App nur zu deaktivieren, schützt nicht.
Was genau kaputt ist
Betroffen ist die Nextcloud-App „Collabora Online – Built-in CODE Server“, technischer Name richdocumentscode. CODE ist die Entwicklerausgabe von Collabora Online, einem Office im Browser. Die eingebaute Variante läuft direkt im Nextcloud-Server mit. Das ist bequem, weil man keinen eigenen Office-Server braucht.
Die Lücke ist eine OS Command Injection. Damit ist gemeint, dass Eingaben aus einer Webanfrage ungeprüft in einen Befehl an das Betriebssystem gelangen. Wer die Anfrage passend baut, lässt eigene Befehle laufen, und zwar mit den Rechten des Webserver-Benutzers. Laut Advisory steckt der Fehler in der Datei proxy.php der App. Ausnutzbar ist er nur, solange der eingebaute CODE Server gerade nicht läuft, etwa nach einem Neustart des Containers, einem Update oder einem Absturz. Das klingt nach einer Hürde, kommt im Alltag aber regelmäßig vor.
Nicht betroffen sind laut Collabora eigenständige Collabora-Online-Server und die separate Connector-App „Nextcloud Office“ (richdocuments). Es geht also nur um die eingebaute Variante.
Was Angreifer damit machen
Die Ausnutzung ist kein theoretisches Szenario. Nach Berichten von The Hacker News und der Analyse von Corgea laufen Angriffe seit mindestens Anfang September 2026. Die Angreifer legten Web Shells ab, also kleine Skripte, über die sie den Server danach bequem fernsteuern können. Damit lasen sie die Nextcloud-Konfiguration aus, in der unter anderem Zugangsdaten zur Datenbank und zum Mailserver stehen. Außerdem suchten sie gezielt nach Dateien von Passwortmanagern und Krypto-Wallets. Laut Corgea hat auch das italienische CSIRT einen Hinweis zum Diebstahl solcher Konfigurationsgeheimnisse veröffentlicht.
CISA hat die Lücke am 23. Oktober 2026 in den Katalog aufgenommen. US-Bundesbehörden mussten sie bis zum 26. Oktober schließen. Für alle anderen gilt diese Frist nicht. Sie zeigt aber, wie ernst die Behörde den Fall nimmt. Wie viele Systeme weltweit betroffen sind, nennt keine der Quellen.
Wer betroffen ist
Betroffen ist jeder, der Nextcloud mit der App „Built-in CODE Server“ in einer Version unter 26.4.303 betreibt. Das sind typischerweise selbst gehostete Instanzen in kleinen Firmen, Vereinen, Schulen und Haushalten, denn genau dort spart man sich gern den separaten Office-Server. Ein Sonderfall sind Nextcloud 29 und ältere Versionen. Sie haben ihr Lebensende erreicht und können die reparierte App laut Advisory nicht installieren.
Was du jetzt tun solltest
- Prüfen, ob die App installiert ist, auch wenn sie deaktiviert ist. Deaktiviert heißt nicht entfernt.
- Aktualisieren auf mindestens 26.4.303 oder die App entfernen. Corgea beschreibt mit 26.4.402 und 26.4.502 zwei spätere Versionen mit weiterer Härtung. Sie empfiehlt die neueste Version, weil erst dort auch das Deaktivieren den angreifbaren Einstiegspunkt wirklich schließt. Mein Rat: auf die aktuellste Version gehen.
- Nextcloud 29 oder älter? Dann die App entfernen oder Nextcloud auf eine unterstützte Version bringen.
- Nach Spuren suchen. Unerwartete PHP-Dateien im Verzeichnis der App sind ein Warnsignal. Ein Update entfernt keine bereits abgelegte Web Shell und macht gestohlene Daten nicht wieder geheim.
- Bei Verdacht gründlich aufräumen. Logs und verdächtige Dateien sichern, den Server oder Container aus einem sauberen Image neu aufsetzen und alle Geheimnisse wechseln, die der Webserver lesen konnte, zum Beispiel Datenbank- und Mailpasswörter sowie die Secrets aus der Nextcloud-Konfiguration.
Meine Einordnung: Die eingebaute Office-Variante ist eine Komfortlösung. Wer Nextcloud Office ernsthaft nutzt, fährt mit einem eigenständigen Collabora-Server meist besser. Wer es gar nicht nutzt, sollte die App löschen statt sie nur abzuschalten.