Für Betreiber selbst gehosteter Nextcloud-Instanzen gibt es einen dringenden Sicherheitsfall: Angreifer nutzen eine kritische Schwachstelle im optionalen Collabora Online – Built-in CODE Server bereits aktiv aus. Die als CVE-2026-110447 geführte Lücke ermöglicht unter bestimmten Betriebsbedingungen eine unauthentifizierte Ausführung von Betriebssystembefehlen. Beobachtete Angriffe hinterließen PHP-Webshells und damit einen dauerhaften Zugang zum kompromittierten Server. Betroffen ist nicht Nextcloud allgemein, sondern die App richdocumentscode in Versionen vor 26.4.303.
Was genau verwundbar ist
Die betroffene App liefert einen eingebauten Collabora-CODE-Server mit, über den Nextcloud Office-Dokumente direkt im Browser bearbeiten kann. Das ist besonders für kleinere Installationen bequem, weil kein separater Collabora-Dienst eingerichtet werden muss. Genau dieser integrierte Startmechanismus enthält jedoch den Fehler: In proxy.php können extern beeinflusste Werte in einen Betriebssystembefehl gelangen, ohne ausreichend neutralisiert zu werden. Die Schwachstelle wird deshalb als OS Command Injection beziehungsweise CWE-78 klassifiziert.
Ein speziell präparierter HTTP-Request kann Befehle mit den Rechten des Webserver-Kontos ausführen. Dafür sind laut Advisory weder ein vorhandenes Benutzerkonto noch eine Interaktion eines Administrators erforderlich. Der CVSS-v4-Wert von 9,2 spiegelt die möglichen Folgen wider: Ein Angreifer kann Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems schwer beschädigen.
Die ungewöhnliche Auslösebedingung
Die Lücke ist nicht bei jeder Anfrage gleichermaßen erreichbar. Der verwundbare Codepfad wird relevant, wenn der eingebaute CODE-Server gerade nicht läuft – etwa unmittelbar nach einem Neustart, einem Upgrade oder einem Absturz. Diese Bedingung macht die Schwachstelle nicht harmloser. Serverneustarts sind normaler Betriebsalltag, und ein Angreifer kann Endpunkte automatisiert wiederholt anfragen, bis das passende Zeitfenster entsteht.
Für die Risikoanalyse ist diese Besonderheit wichtig: Ein Test gegen eine momentan laufende Instanz kann negativ ausfallen, obwohl das System grundsätzlich verwundbar ist. Auch die reine Verfügbarkeitsüberwachung reicht nicht aus. Ein grüner HTTP-Monitor bestätigt, dass Nextcloud antwortet, sagt aber nichts darüber aus, ob der CODE-Startpfad sicher ist oder bereits eine Webshell abgelegt wurde.
Aktive Angriffe erhöhen die Priorität
Die Meldung ist mehr als eine theoretische CVE-Veröffentlichung. Administratoren berichteten bereits seit September über kompromittierte Systeme; Sicherheitsberichte beschreiben das Ablegen von PHP-Webshells. Damit erhalten Angreifer einen persistenten Einstiegspunkt, der auch nach dem Ende des ursprünglichen Exploit-Fensters weiter funktionieren kann. Der Patch schließt zwar die auslösende Lücke, entfernt aber keine bereits installierte Hintertür.
Hinzu kommt eine problematische zeitliche Lücke: Die korrigierte Version 26.4.303 stand schon vor der formalen CVE-Zuordnung bereit. Wer Updates nur anhand neuer CVE-Einträge priorisiert, konnte die Bedeutung dieses Releases deshalb übersehen. Das zeigt ein generelles Problem im Schwachstellenmanagement: Versionsinventar, Herstellerhinweise und reale Angriffssignale müssen zusammengeführt werden; ein CVE-Scanner allein ist kein vollständiges Frühwarnsystem.
Wer betroffen ist – und wer nicht
Administratoren sollten zuerst die konkrete Architektur prüfen. Verwundbar sind Nextcloud-Systeme mit der optionalen App richdocumentscode, also dem eingebauten CODE-Server, sofern eine Version vor 26.4.303 installiert ist. Nicht betroffen sind nach Angaben der beteiligten Projekte eigenständig betriebene Collabora-Online-Server, klassische Docker-, DEB- oder RPM-Installationen von Collabora sowie Nextcloud-All-in-One-Deployments. Auch der reine Connector richdocuments ist nicht mit dem verwundbaren Serverpaket gleichzusetzen.
Diese Abgrenzung verhindert unnötige Maßnahmen, darf aber nicht geschätzt werden. Entscheidend ist das tatsächliche App-Inventar jeder Instanz. Bei mehreren Mandanten, Testsystemen oder lange nicht gepflegten Nebeninstanzen sollten Betreiber zentral erfassen, wo richdocumentscode installiert ist und welche Version läuft.
Sofortmaßnahmen für Administratoren
- Version prüfen und aktualisieren:
richdocumentscodemuss mindestens auf Version 26.4.303 gebracht werden. Nicht mehr benötigte Installationen sollten vollständig entfernt werden. - Prozesse sauber neu starten: Nach dem Update alte Collabora- beziehungsweise CODE-Prozesse beenden und kontrolliert neu starten, damit tatsächlich der korrigierte Stand aktiv ist.
- Logs rückwirkend untersuchen: Webserver-, Reverse-Proxy-, PHP- und Systemprotokolle mindestens bis Anfang September prüfen. Auffällig sind ungewöhnliche Requests an Pfade unter
/apps/richdocumentscode/, unerwartete Kindprozesse des Webservers sowie neu angelegte PHP-Dateien. - Dateiintegrität kontrollieren: App-, Webroot- und Upload-Verzeichnisse mit einem vertrauenswürdigen Referenzstand vergleichen. Eine erfolgreiche Aktualisierung ist kein Nachweis dafür, dass das System vorher nicht kompromittiert wurde.
- Secrets rotieren: Bei belastbaren Hinweisen auf einen Einbruch alle vom Webserver erreichbaren Zugangsdaten erneuern, insbesondere Datenbankpasswörter, Nextcloud-Secrets, SMTP-Zugänge und Tokens für angebundene Dienste.
- Beweise sichern: Verdächtige Systeme isolieren, Snapshots und Logs bewahren und erst danach bereinigen. Bei bestätigter Kompromittierung ist ein Neuaufbau aus vertrauenswürdigen Quellen sicherer als das bloße Löschen sichtbarer Webshells.
Monitoring muss Erreichbarkeit und Integrität verbinden
Der Vorfall zeigt, warum Uptime-Monitoring nur eine Ebene der Betriebsüberwachung ist. Externe Monitore erkennen Ausfälle, Zertifikatsfehler und ungewöhnliche Antwortzeiten. Server-Monitoring und Heartbeats können zusätzlich melden, wenn erwartete Prozesse nach einem Update nicht starten oder geplante Integritätsprüfungen ausbleiben. Für einen Sicherheitsfall braucht es darüber hinaus Log- und Endpoint-Telemetrie: neue Dateien im Webroot, vom PHP-Prozess gestartete Shells, ausgehende Verbindungen oder unerwartete Änderungen an Konfigurationen.
Sinnvoll ist ein abgestufter Ablauf. Ein fehlgeschlagener Integritäts-Heartbeat oder ein verdächtiger Prozessfund löst einen priorisierten Alarm aus; das Operations-Team dokumentiert den Status auf internen Kanälen, isoliert die Instanz und folgt einem vorbereiteten Incident-Runbook. So wird aus einzelnen Werkzeugen ein belastbarer Reaktionsprozess.
Lehren für den Betrieb selbst gehosteter Plattformen
Gebündelte Komponenten vereinfachen Installationen, vergrößern aber die Angriffsfläche des Hauptsystems. Ein eingebauter Office-Server läuft nahe an sensiblen Dateien, Konfigurationen und Datenbankzugängen. Betreiber sollten optionale Apps deshalb wie eigenständige Internetdienste behandeln: mit Inventar, Patch-Verantwortung, minimalen Rechten und eigener Protokollierung.
Für größere oder besonders schützenswerte Umgebungen kann eine getrennte Collabora-Installation zusätzliche Isolation schaffen. Sie ersetzt weder Updates noch Härtung, begrenzt aber potenziell den direkten Zugriff eines kompromittierten Office-Dienstes auf die Nextcloud-Installation. Ebenso wichtig sind restriktive Dateirechte, ein schreibgeschützter Anwendungscode, getrennte Secrets und Netzwerkregeln nach dem Least-Privilege-Prinzip.
Fazit
CVE-2026-110447 verdient höchste operative Priorität: Die Lücke ist kritisch, ohne Anmeldung ausnutzbar und wird bereits für reale Kompromittierungen verwendet. Wer den Built-in CODE Server betreibt, sollte nicht auf den nächsten regulären Wartungstermin warten. Jetzt zählen Versionsprüfung, Update auf mindestens 26.4.303 und eine rückwirkende Suche nach Spuren eines Einbruchs. Erst die Kombination aus Patch, Forensik und gegebenenfalls Secret-Rotation stellt wieder einen vertrauenswürdigen Zustand her.
Bildquelle: NOIRLab/NSF/AURA/T. Slovinský via Wikimedia Commons, Lizenz CC BY 4.0.
Quellen
- GitHub Advisory Database: CVE-2026-110447 / GHSA-f97p-r72q-64h2
- BleepingComputer: „Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers“, 15. Oktober 2026
- Nextcloud Security Advisories und Collabora-Projekthinweise
