Nextcloud: Angreifer platzieren Webshells über Collaboras App Built-in CODE Server – jetzt aktualisieren oder entfernen

Eine kritische Lücke in der optionalen Nextcloud-App Collabora Online - Built-in CODE Server erlaubt es jedem, ohne Anmeldung Systembefehle auf dem Server auszuführen. Sie wird seit mindestens 10. September ausgenutzt; Collabora veröffentlichte den Hinweis CVE-2026-110447 erst am 14. Oktober.

Was geschah

Am 14. Oktober 2026 veröffentlichte Collabora den Hinweis CVE-2026-110447 (CVSS 4.0: 9,2): eine Befehlsinjektion ohne Authentifizierung in proxy.php der Nextcloud-App Collabora Online - Built-in CODE Server (richdocumentscode). Die App betreibt eine Office-Suite auf demselben Server wie Nextcloud, ohne separate Collabora-Installation. Eine präparierte Anfrage genügt, um einen Systembefehl mit den Rechten des Webserver-Benutzers auszuführen.

Der Hinweis kam spät, die Angriffe deutlich früher. Bereits am 11. September meldete ein Administrator, der mehrere Nextcloud-Server betreibt, auf der GitHub-Seite der App erfolgreiche Einbrüche seit dem Vortag, mit Logs vom 10. September. Andere berichteten danach von PHP-Dateien namens shx…php in ihrer Installation und von fehlgeschlagenen sudo-Versuchen. Die korrigierte Version 26.4.303 erschien am 11. September.

Wer betroffen ist

Jede Nextcloud-Instanz mit der App Built-in CODE Server in einer Version vor 26.4.303. Ausnutzbar ist die Lücke nur, solange der integrierte Office-Server nicht läuft: nach einem Container-Neustart, einem Update oder einem Absturz. Die App zu deaktivieren reicht nicht, so Collabora: Sie muss aktualisiert oder entfernt werden. Eigenständige Collabora-Online-Server sind nicht betroffen.

Was jetzt zu tun ist

1. Prüfen, ob die App vorhanden ist: sudo -u www-data php occ app:list | grep richdocumentscode.
2. Aktualisieren auf 26.4.303 oder neuer (occ app:update richdocumentscode) oder entfernen (occ app:remove richdocumentscode). Bei Nextcloud 29 oder älter, das keine Updates mehr erhält, Nextcloud aktualisieren oder die App entfernen.
3. Nach Webshells suchen: find /var/www/nextcloud -name 'shx*.php', dann occ integrity:check-core. Gefundene Dateien löschen.
4. Webserver-Logs seit 10. September auf Anfragen an proxy.php der App von unbekannten Adressen prüfen und auf ungewöhnliche Prozesse unter www-data achten.
5. War eine Webshell vorhanden, den Server als kompromittiert betrachten: Das Webserver-Konto kann config.php lesen. Datenbankpasswort, Secrets und Administratorpasswörter ändern und den Server möglichst neu aufsetzen.

Unsere Einschätzung

Ein optionales Add-on, mit einem Klick installiert, wird Teil der Angriffsfläche der gesamten Nextcloud. Führen Sie ein Inventar der tatsächlich genutzten Apps, entfernen Sie den Rest, und warten Sie nicht auf eine CVE-Nummer, bevor Sie ein Update einspielen, das die Community bereits als Sicherheitsfix beschreibt.

Quellen

• Collabora Online — Unauthenticated OS command injection in the richdocumentscode proxy (GHSA-g3vx-3m76-fghh)
• GitHub — richdocumentscode issue #354: Security issue - Hack
• The Hacker News — Hackers Backdoor Nextcloud Servers Through Critical Flaw in Collabora’s Built-in CODE App

Wie wir unsere Analysen auswählen, prüfen und schreiben →