Collabora nannte am 15. Oktober 2026 lange Bearbeitungszeiten bei GitHub als Hauptgrund für die verspätete formelle Meldung der Nextcloud-Schwachstelle CVE-2026-110447. CVE-Meldungen hätten dort statt etwa eines Tages viele Wochen gebraucht. Zugleich kündigte Collabora an, sich als CVE Numbering Authority (CNA) anerkennen zu lassen, um CVE-Meldungen künftig direkt einreichen zu können, schrieb das Unternehmen in seinem Blog.
Collaboras Erklärung für den Meldeverzug
Collabora zufolge bearbeitete, korrigierte und veröffentlichte das Team 2026 Sicherheitsmeldungen in einem Umfang, für den sonst etwa zehn Jahre anfielen. Nextcloud nannte gegenüber BleepingComputer eine andere Erklärung: Man habe Administratoren Zeit für Updates geben wollen und keine weitverbreitete Ausnutzung beobachtet. BleepingComputer berichtete über die Auskunft von Nextcloud und die Administratorberichte.
Vom gemeldeten Fix zum formellen Advisory
BleepingComputer datierte den Fix-Commit auf den 9. September und den frühesten von Administratoren gemeldeten Angriff auf den 10. September 2026. Die folgende Chronologie unterscheidet diese Angaben von der späteren Veröffentlichung des Advisories und von Collaboras Erklärung im Oktober.
| Datum | Ereignis |
| 9. September 2026 | BleepingComputer zufolge commitete Collabora den Fix. |
| 10. September 2026 | Frühester von Administratoren gemeldeter Angriff, laut BleepingComputer. |
| 11. September 2026 | BleepingComputer berichtete über die Veröffentlichung von richdocumentscode 26.4.303. |
| 14. Oktober 2026 | Collabora veröffentlichte das formelle Sicherheits-Advisory zu CVE-2026-110447. |
| 15. Oktober 2026 | Collabora veröffentlichte seine Erklärung zum Meldeverzug. |
Welche App betroffen ist und was Administratoren tun sollten
CVE-2026-110447 betrifft die optionale Nextcloud-App Collabora Online - Built-in CODE Server, das Paket richdocumentscode, in Versionen vor 26.4.303. Die Schwachstelle lag im Endpunkt proxy.php: Wenn der integrierte CODE-Server nicht lief, konnte eine Anfrage Betriebssystembefehle mit den Rechten des Webserver-Benutzers ausführen. Das konnte etwa bei einem Neustart oder Upgrade des Servers oder nach einem Absturz relevant werden. Collabora beschreibt Schwachstelle, Versionsgrenze und Abhilfe im Advisory.
Collabora rät, richdocumentscode auf Version 26.4.303 oder höher zu aktualisieren oder die App zu entfernen. Sie lediglich zu deaktivieren, reicht nicht. Für Nextcloud 29 oder ältere Versionen empfiehlt Collabora ein Upgrade von Nextcloud oder das Entfernen der App. Das Advisory stellt außerdem klar, dass CVE-2026-110447 einen anderen Fehlerpfad als CVE-2025-66208 betrifft und die Korrektur für CVE-2025-66208 diese Schwachstelle nicht behebt.
Collabora zufolge sind eigenständige Collabora-Online-Server, Docker-Images, RPM- und DEB-Pakete sowie Nextcloud-All-in-One-Images nicht betroffen. NeoTeo berichtete bereits über die Ausnutzung der integrierten CODE-App.
Was Administratoren über Angriffe meldeten
BleepingComputer zufolge berichteten Administratoren von Angriffen auf mehrere Endpunkte. In den Meldungen ging es unter anderem um abgelegte PHP-Webshells und die Suche nach Passwortspeichern und Kryptowährungs-Wallets. NeoTeo hatte über diese gemeldete Aktivität bereits in einem früheren Bericht zur CODE-App berichtet.
