Collabora veröffentlichte am 14. Oktober 2026 eine als kritisch eingestufte Warnung zu CVE-2026-110447. Betroffen sind Versionen vor 26.4.303 der optionalen Nextcloud-App richdocumentscode – Collabora Online - Built-in CODE Server. Die App zu deaktivieren genügt nicht: Collabora verlangt ein Update auf Version 26.4.303 oder neuer oder die Entfernung der App. Collaboras Sicherheitswarnung
Welche Nextcloud-Installationen betroffen sind
Die Lücke ermöglicht ohne Anmeldung die Ausführung von Betriebssystembefehlen mit den Rechten des Webserver-Benutzers. Ausnutzbar ist sie laut Collabora, wenn der integrierte CODE-Server gerade nicht läuft – etwa während eines Neustarts oder Updates oder nach einem Absturz. Der Angriffspfad führt über proxy.php.
Die Schwachstelle betrifft die optionale Built-in-CODE-App, nicht Nextcloud Office allein. Eigenständige Collabora-Online-Server sind laut Collabora nicht betroffen.
Welche Abhilfe Collabora empfiehlt
Administratoren müssen richdocumentscode auf 26.4.303 oder neuer aktualisieren oder die App entfernen. Ein bloßes Deaktivieren behebt die Schwachstelle nicht. Wer Nextcloud 29 oder älter nutzt, soll laut Collabora Nextcloud aktualisieren oder die App entfernen.
Der Release-Eintrag datiert die Veröffentlichung von Version 26.4.303 auf den 11. September 2026. Release-Eintrag zu 26.4.303
Angriffsmeldungen gingen dem öffentlichen Hinweis voraus
The Hacker News berichtete am 14. Oktober 2026 von Administratoren, deren Protokolle ab dem 10. September 2026 Angriffsaktivitäten zeigten, und von drei Administratoren, die eine Kompromittierung meldeten. Die Sicherheitskorrektur erschien am 11. September; Collabora veröffentlichte seine Warnung am 14. Oktober. Bericht von The Hacker News
