CISA nahm CVE-2026-110447 am 23. Oktober 2026 in den KEV-Katalog bekannter, aktiv ausgenutzter Sicherheitslücken auf. Betroffen ist die optionale Nextcloud-App Collabora Online - Built-in CODE Server (richdocumentscode) in Versionen vor 26.4.303. Administratoren sollten die App auf mindestens 26.4.303 aktualisieren oder entfernen. Sie lediglich zu deaktivieren, reicht nicht aus.
Was die Schwachstelle ermöglicht
Eine nicht authentifizierte Anfrage an proxy.php kann Betriebssystembefehle mit den Rechten des Webserver-Benutzers ausführen, wenn der integrierte CODE-Server nicht läuft. Das kann etwa während eines Neustarts oder Upgrades oder nach einem Absturz der Fall sein. Collabora beschreibt die Lücke als Befehlsinjektion auf Betriebssystemebene und nennt 26.4.303 als korrigierte App-Version. Collaboras Sicherheitshinweis ordnet die Schwachstelle unter der Kennung CVE-2026-110447 ein.
Die Versionsgrenze betrifft richdocumentscode, nicht eine bestimmte Nextcloud-Version: Jede Version der App vor 26.4.303 fällt darunter. Collabora zufolge können Nextcloud-Versionen 29 oder älter die korrigierte App nicht installieren. Wer eine solche Nextcloud-Version betreibt, soll daher Nextcloud aktualisieren oder die App entfernen.
Warum Deaktivieren nicht genügt
Collabora zufolge bleibt die verwundbare Datei proxy.php auch dann vorhanden, wenn Administratoren die App deaktivieren. Die empfohlene Maßnahme ist deshalb, richdocumentscode auf Version 26.4.303 oder höher zu aktualisieren oder die App zu entfernen.
Welche Collabora-Konfigurationen betroffen sind
Die Schwachstelle betrifft den integrierten CODE-Server in der Nextcloud-App richdocumentscode. Eigenständige Collabora-Online-Server sowie Nextcloud Office (richdocuments) mit einem externen Collabora-Server fallen nicht unter diese konkrete Sicherheitslücke. Collabora erklärt außerdem, dass CVE-2026-110447 einen anderen Angriffsweg als CVE-2025-66208 nutzt und eine Behebung der älteren Schwachstelle CVE-2026-110447 nicht verhindert. NeoTeo berichtete zuvor über die integrierte CODE-App.
Was CISA für US-Bundesbehörden vorgibt
Die US-Cybersicherheitsbehörde CISA beschränkt die Vorgabe BOD 26-04 auf Behörden des Federal Civilian Executive Branch (FCEB). Sie setzt für diese Behörden den 26. Oktober 2026 als Frist. Die Vorgabe priorisiert KEV-Schwachstellen auf öffentlich erreichbaren Systemen, bei denen eine Ausnutzung vollständige Kontrolle ermöglicht. Niedriger eingestufte Lücken werden nachrangig behandelt. Zudem umfasst die Vorgabe grundlegende Erwartungen an die Prüfung auf eine mögliche Kompromittierung vor dem Einspielen eines Patches. Andere Organisationen fordert CISA auf, KEV-Einträge risikobasiert zu priorisieren. CISAs Mitteilung zur Aufnahme in den KEV-Katalog nennt aktive Ausnutzung als Grundlage für die Aufnahme von CVE-2026-110447.
CERT Polska berichtete am 20. Oktober, die Schwachstelle werde bei Ransomware-Angriffen und zur Übernahme von Servern eingesetzt. Die Behörde empfiehlt Administratoren, das App-Verzeichnis apps/richdocumentscode auf Dateien mit dem Muster shx*.php zu prüfen. In Zugriffsprotokollen sollten sie nach Anfragen an proxy.php?status mit %2e%2e, $( oder ${IFS} suchen. CERT Polska empfiehlt außerdem, Versuche zu untersuchen, sudo aus dem Webserver-Konto heraus aufzurufen. Solche Treffer sind Hinweise für eine Untersuchung, aber für sich genommen kein Nachweis einer Kompromittierung. Die Empfehlungen von CERT Polska führen diese Prüfhinweise auf.
