Zum Inhalt springen
Centoculus

Sicherheitswarnung · Kritisch

Nextcloud CODE-Server: aktiv ausgenutzte Command Injection, CVE-2026-110447

· 3 Minuten Lesezeit · Centoculus Security Team

Bekannt seit · Angriffe bestätigt seit

Betroffen: Collabora Online – Built-in CODE Server App für Nextcloud; korrigierte Versionen laut Herstellerhinweis

Was passiert ist

Der Collabora Online – Built-in CODE Server, die Nextcloud-App, die einen eingebetteten Collabora-Online-Dokumentenserver mitbringt, enthält eine OS-Command-Injection-Schwachstelle, die als CVE-2026-110447 geführt wird. Laut den Quelldaten ermöglicht sie Remote-Code-Ausführung, wenn der CODE-Server nicht läuft. Die Schwachstelle hat einen CVSS-Basiswert von 9,8.

Die Schwachstelle ist im Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) der CISA aufgeführt, was bedeutet, dass sie aktiv ausgenutzt wird. Im Nextcloud-Community-Forum hat das Collabora-Team die Nutzer des eingebauten Servers gebeten, so schnell wie möglich zu aktualisieren.

Wer betroffen ist

Sie sind betroffen, wenn Sie Nextcloud mit der App "Collabora Online – Built-in CODE Server" (App-ID richdocumentscode) betreiben. Installationen, die Nextcloud mit einem separat installierten Collabora Online oder CODE-Server verbinden, werden in den Quelldaten nicht als betroffen beschrieben.

Die betroffenen und korrigierten Versionen sind in den vorliegenden Daten nicht angegeben. Prüfen Sie die Sicherheitsmitteilung von Collabora (GHSA-g3vx-3m76-fghh) und den unten verlinkten Beitrag im Nextcloud-Forum, um die genauen Versionen zu ermitteln.

Wenn Sie Nextcloud für Kunden hosten, prüfen Sie jede Instanz, auch solche, auf denen die App einmal zu Testzwecken installiert und dann vergessen wurde.

Was Sie jetzt tun sollten

  1. Ermitteln Sie, ob die App installiert ist: Führen Sie sudo -u www-data php occ app:list | grep -i richdocumentscode in Ihrem Nextcloud-Verzeichnis aus (passen Sie den Benutzer des Webservers an Ihr System an).
  2. Sichern Sie Ihre Nextcloud-Konfiguration (config/config.php), bevor Sie Änderungen vornehmen.
  3. Aktualisieren Sie die App auf die in der Herstellermitteilung genannte korrigierte Version, entweder über Apps in der Nextcloud-Administrationsoberfläche oder mit sudo -u www-data php occ app:update richdocumentscode.
  4. Wenn Sie den eingebauten Dokumentenserver nicht verwenden oder nicht sofort aktualisieren können, deaktivieren Sie ihn: sudo -u www-data php occ app:disable richdocumentscode. Erwägen Sie, die App vollständig zu entfernen.
  5. Vergewissern Sie sich, dass die Dokumentenbearbeitung weiterhin funktioniert, falls Sie sie nutzen, und dass Nextcloud selbst erreichbar und funktionsfähig ist (occ status).
  6. Da die Schwachstelle aktiv ausgenutzt wird, prüfen Sie den Server auf Anzeichen einer Kompromittierung (siehe unten), insbesondere wenn die Instanz aus dem Internet erreichbar war und eine verwundbare Version lief.

So prüfen Sie, ob Sie betroffen sind

  • Führen Sie occ app:list aus und vergleichen Sie die installierte Version von richdocumentscode mit der korrigierten Version in der Herstellermitteilung.
  • Suchen Sie nach unerwarteten Prozessen unter dem Benutzer des Webservers (zum Beispiel mit ps -u www-data -f), unbekannten Cron-Jobs sowie kürzlich geänderten oder neu erstellten Dateien im Nextcloud-Verzeichnis und in temporären Verzeichnissen.
  • Prüfen Sie die Zugriffsprotokolle des Webservers und das Nextcloud-Protokoll (data/nextcloud.log) auf ungewöhnliche Anfragen an die Pfade der App richdocumentscode und auf unerwartete Fehler.
  • Prüfen Sie auf unerwartete ausgehende Netzwerkverbindungen des Servers.

Wenn Sie Anzeichen einer Kompromittierung finden, isolieren Sie den Server, sichern Sie die Protokolle und behandeln Sie alle Zugangsdaten, die auf dem Server gespeichert sind oder von dort aus erreichbar sind, als offengelegt.

Quellen

Weitere Quellen (4)

Weitere Beiträge