Nextcloud Collabora Schwachstelle ausgenutzt

Eine Nextcloud Collabora Schwachstelle in der optionalen App Built-in CODE Server hat es Angreifern seit dem 10. September ermöglicht, Web-Shells auf Nextcloud-Servern abzulegen. Collabora hat sie am 11. September ohne Sicherheitshinweis behoben, und die CVE (CVE-2026-110447) folgte erst am 14. Oktober. Die App zu deaktivieren schließt die Lücke nicht: aktualisieren oder entfernen.

Was ist passiert

Die App, veröffentlicht als richdocumentscode, lädt eine Kopie von Collabora Online Development Edition herunter und betreibt sie auf dem Nextcloud-Server, damit Nextcloud Office ohne separaten Dokumentenserver funktioniert. Ihr Skript proxy.php startet den lokalen Server, sobald eine Anfrage eintrifft und nichts lauscht. In Versionen bis 26.4.302 setzte das Skript Text aus der Anfrage, einschließlich des Pfads, in einen doppelt angeführten Bash-Befehl ein; ein im Pfad versteckter Befehl lief daher als Benutzer des Webservers. Der Angriff funktioniert nur, solange der lokale Dokumentenserver nicht läuft, etwa bei einem Neustart, einem Upgrade oder nach einem Absturz. Die Nextcloud-Community nennt einen Schweregrad von 9,2 von 10.

Der erste protokollierte Angriff erfolgte am 10. September. Drei Administratoren meldeten Web-Shells auf GitHub. Die Angreifer legten eine einzeilige PHP-Web-Shell ab und suchten damit auf einem Server nach Passwortmanager-Dateien und Krypto-Wallets. Die geprüften Anfragen zeigen keine Befehle, die Dateien archivierten oder hochluden, und keiner der Berichte zeigt Root-Zugriff. Der Fix wurde am 20. August als routinemäßige Aufräumarbeit committet, am 11. September als Version 26.4.303 ausgeliefert, mit Release Notes, die nur den gebündelten CODE-Build erwähnen, und am 3. Oktober von einem Mitglied der Nextcloud-Community als bereits ausgenutzt gemeldet. Collabora veröffentlichte Advisory und CVE am 14. Oktober, 33 Tage nach dem Fix-Release. Wie viele Server kompromittiert wurden, ist unbekannt.

Warum das wichtig ist

Nicht jede Nextcloud ist betroffen. Eigenständiges Collabora Online, Docker- und Paket-Installationen, gehostetes Collabora und Nextcloud Office ohne die Built-in-App sind es nicht. Der App-Store listet ihn für lokale Tests und kleine Teams, und genau die betreiben ihn produktiv. Annahme: Selbst gehostetes Nextcloud ist in DACH bei kleinen Unternehmen, Behörden und Schulen verbreitet. Stand 19. Oktober haben wir keine BSI-Warnung zu dieser Lücke gefunden und kennen keine deutschen Opfer.

Das Governance-Problem dieser Nextcloud Collabora Schwachstelle ist die Lücke zwischen Fix und Hinweis. Ein Fix, der als Routine-Update ohne Sicherheitskennzeichnung erscheint und 33 Tage so bleibt, gibt Verteidigern nichts zum Handeln, während Angreifer die Details längst kennen. Dasselbe Muster sahen wir bei Zammad am 6. Oktober. Nextcloud 29 und älter können den Fix nicht installieren, und der App-Store liefert ihnen weiterhin eine betroffene Version aus.

Was Sie jetzt tun sollten

1. Prüfen und aktualisieren. In der Nextcloud-App-Liste nach „Collabora Online – Built-in CODE Server“ (richdocumentscode) suchen. Unter 26.4.303 aktualisieren oder entfernen; sie in Nextcloud zu deaktivieren genügt laut Collabora nicht. Die behobenen Versionen brauchen Nextcloud 30 oder neuer, unter 29 oder älter also Nextcloud upgraden oder die App entfernen. Version 26.4.402 startet laut Berichten in manchen Setups nicht; das Advisory nennt 26.4.303.
2. Nach Web-Shells suchen. occ integrity:check-app richdocumentscode ausführen und nach unerwarteten PHP-Dateien suchen, beginnend in apps/richdocumentscode. Berichtete Namen variieren (shx*.php, shrf*.php und andere), verlassen Sie sich also nicht auf den Namen. Vor dem Löschen eine Kopie für die Forensik sichern.
3. Logs bis zum 10. September prüfen. Im Zugriffslog des Webservers nach Anfragen an proxy.php?status suchen, deren Pfad %2e%2e, $( oder ${IFS} enthält, und nach sudo-Versuchen des Webserver-Kontos schauen.
4. Haben Sie eine Shell gefunden, behandeln Sie alles, was das Webserver-Konto lesen kann, als offengelegt. Datenbankpasswort und Secrets in der Nextcloud-Konfiguration, App-Passwörter und alles auf demselben Host erneuern, einschließlich Passwortmanager- und Wallet-Dateien. Ein Wechsel auf einen eigenständigen Collabora-Server, der nicht betroffen ist, ist eine Option.

DIESEC Einschätzung

Die Release Notes eines Herstellers sind kein Alarmkanal. Abonnieren Sie den Advisory-Feed jeder App auf einem selbst gehosteten Collaboration-Server, und behandeln Sie optionale Komponenten mit dem Vermerk „für Tests“ als produktive Angriffsfläche, sobald sie im Web lauschen.

Nicht sicher, ob Ihre Nextcloud die Built-in-Collabora-App nutzt oder schon getroffen wurde? Kontaktieren Sie DIESEC für eine schnelle Expositionsprüfung und Web-Shell-Suche auf Ihren selbst gehosteten Collaboration-Servern.

Quellen: The Hacker News | Collabora Advisory | Nextcloud Community | BleepingComputer
Veröffentlicht: 2026-10-21 | Kategorie: Tägliche News | ~4 Min. Lesezeit