CISA nahm CVE-2026-110447 am 23. Oktober 2026 in den KEV-Katalog (Known Exploited Vulnerabilities) für bekannte ausgenutzte Schwachstellen auf. Die Behörde begründete den Schritt mit Hinweisen auf aktive Ausnutzung. Betroffen ist die optionale Nextcloud-App Collabora Online - Built-in CODE Server, genauer richdocumentscode vor Version 26.4.303. NeoTeo hatte frühere Meldungen zur Ausnutzung der integrierten CODE-App bereits eingeordnet.
Der KEV-Eintrag nennt den 26. Oktober 2026 als Frist. CISA erklärt in seiner Mitteilung zur Aufnahme, dass die Vorgabe aus BOD 26-04 für zivile US-Bundesbehörden gilt. Anderen Organisationen empfiehlt CISA, KEV-Schwachstellen risikobasiert zu priorisieren.
Die Schwachstelle betrifft den integrierten CODE-Server
CVE-2026-110447 ist eine nicht authentifizierte Betriebssystem-Befehlsinjektion in proxy.php. Wenn der integrierte CODE-Server nicht läuft, kann eine Anfrage dort Betriebssystembefehle mit den Rechten des Webserver-Benutzers ausführen. Das kann etwa nach einem Neustart, einer Aktualisierung oder einem Absturz der Fall sein. Collabora bewertet die Schwachstelle als kritisch und nennt einen CVSS-4.0-Wert von 9,2.
Der Fehler betrifft richdocumentscode in Versionen vor 26.4.303. Eigenständig betriebene Collabora-Online-Server sind laut Collabora nicht betroffen. Auch Nextcloud-Installationen mit Nextcloud Office und ausschließlich einem externen Collabora-Server stuft CERT Polska als nicht betroffen ein.
Abschalten reicht nicht als Abhilfe
Collabora empfiehlt, richdocumentscode auf Version 26.4.303 oder höher zu aktualisieren oder die App zu entfernen. Eine Deaktivierung in Nextcloud allein genügt nicht. Für Nextcloud 29 oder ältere Versionen rät Collabora dazu, die Plattform zu aktualisieren oder die App zu entfernen.
Welche Spuren CERT Polska und ACN meldeten
CERT Polska empfiehlt, im Verzeichnis apps/richdocumentscode nach Dateien mit dem Muster shx*.php zu suchen. Außerdem sollten Administratoren Zugriffsprotokolle auf Anfragen an proxy.php?status mit %2e%2e, $( oder ${IFS} im Pfad sowie auf versuchte sudo-Befehle durch das Webserver-Konto prüfen. Die Warnung von CERT Polska nennt diese konkreten Prüfhinweise.
ACN / CSIRT Italia meldete am 16. Oktober 2026 die Kompromittierung eines Nextcloud-Servers in Italien. In diesem Fall installierte der Angreifer drei Webshells und entwendete eine Konfigurationsdatei mit Datenbank- und Dienstmailbox-Zugangsdaten sowie Anwendungsschlüsseln und -geheimnissen. Zum Zeitpunkt des Bulletins hatte ACN keine Hinweise auf Zugriffe auf Nutzerdokumente, eine Ausweitung auf Administratorrechte, zusätzliche Persistenz oder laterale Bewegungen gefunden.
CERT Polska erklärte am 20. Oktober, die Schwachstelle werde aktiv für Ransomware-Angriffe eingesetzt. Der CISA-Katalog führte am 24. Oktober für bekannte Ransomware-Kampagnen den Wert „Unknown“.
