Der am 14. Oktober 2026 veröffentlichte Eintrag der GitHub Advisory Database unterscheidet CVE-2026-110447 ausdrücklich von CVE-2025-66208 und beschreibt Ausnutzung der Lücke im September und Oktober 2026. Betroffen ist Nextclouds integrierte Collabora-CODE-App richdocumentscode. NeoTeo hatte zuvor bereits über eine Lücke in der CODE-App berichtet.
Was der Eintrag vom 14. Oktober einordnet
Die beiden CVE-Nummern stehen laut Advisory für unterschiedliche Schwachstellen. Der neue Eintrag beschreibt Angriffe in zwei Monaten: September und Oktober 2026. Er nennt keine Zahl betroffener Server.
Welche Nextcloud-Installationen betroffen sind
CVE-2026-110447 betrifft die optionale Nextcloud-App Collabora Online - Built-in CODE Server, richdocumentscode, in Versionen vor 26.4.303. Die Schwachstelle ist eine Befehlsinjektion auf Betriebssystemebene in proxy.php: Läuft der lokale CODE-Server nicht, kann sie laut Advisory die Ausführung von Befehlen aus der Ferne ermöglichen.
Eigenständige Collabora-Online-Server sind laut Advisory nicht betroffen. Pasquale Pillitteri zählt auch separat betriebene Docker- und Linux-Paket-Installationen sowie Collabora-Angebote von Drittanbietern nicht zum beschriebenen Fehler.
Was ein Update bei bereits installierten Webshells leistet
Pasquale Pillitteri berichtet von nicht authentifizierten Anfragen, über die Angreifer PHP-Webshells im App-Verzeichnis abgelegt hätten. Die Dateien liefen dem Bericht zufolge mit den Rechten des Webserver-Benutzers, häufig www-data. Pillitteri schildert drei öffentliche Vorfallmeldungen: In einem Fall fanden Administratoren Webshells auf mehreren Servern mit Version 26.4.302; in einem weiteren meldete eine Integritätsprüfung eine schädliche PHP-Datei; ein dritter Bericht betraf E-Mails zu fehlgeschlagenen sudo-Versuchen. Die Gesamtzahl betroffener Server war laut Pillitteri unbekannt. Pillitteris Bericht zu den Vorfällen
Ein Update auf 26.4.303 oder neuer schließt laut Pillitteris Bericht den verwundbaren Codepfad, entfernt aber keine bereits abgelegte Webshell. Auch das bloße Deaktivieren der App behebt die Lücke nicht. The Hacker News veröffentlichte am 14. Oktober auf X eine englischsprachige Warnung mit der Empfehlung, die App zu aktualisieren oder zu entfernen.
Was Administratoren jetzt prüfen sollten
Pasquale Pillitteri empfiehlt, richdocumentscode auf 26.4.303 oder neuer zu aktualisieren oder die App zu entfernen. Wer Nextcloud 29 oder eine ältere Version nutzt, soll laut seinem Bericht Nextcloud aktualisieren oder die App entfernen. Das Deaktivieren allein reicht demnach nicht aus. Pillitteris Hinweise zur Reaktion
Anschließend sollten Administratoren im App-Verzeichnis nach shx*.php und shrf*.php suchen und Zugriffsprotokolle ab dem 10. September 2026 auf Anfragen an proxy.php?status sowie die beschriebenen verdächtigen Muster prüfen. Wird eine Webshell gefunden, empfiehlt Pillitteri, Geheimnisse zu ändern, die für den Benutzer des Webservers lesbar sind.
