CISA voegde CVE-2026-110447 op 23 oktober 2026 toe aan de KEV-catalogus van bekende uitgebuite kwetsbaarheden, op basis van bewijs van actieve exploitatie. De fout treft Nextclouds optionele ingebouwde Collabora-app richdocumentscode vóór versie 26.4.303. Collabora adviseert de app bij te werken naar die versie of hoger, of haar te verwijderen. CISA maakte de toevoeging bekend; Collabora beschrijft de kwetsbaarheid en de oplossing.

Welke Nextcloud-installaties lopen risico?

CVE-2026-110447 zit in Collabora Online - Built-in CODE Server, de Nextcloud-app richdocumentscode. Een niet-aangemeld verzoek aan proxy.php kan een besturingssysteemopdracht uitvoeren wanneer de ingebouwde CODE-server niet draait, bijvoorbeeld na een herstart, upgrade of crash. De opdracht draait met de rechten van het webserveraccount.

De grens wordt bepaald door de versie van richdocumentscode, niet door het versienummer van Nextcloud: builds ouder dan 26.4.303 zijn getroffen. Collabora zegt dat dit een ander aanvalspad is dan CVE-2025-66208 en dat de oplossing voor die eerdere kwetsbaarheid CVE-2026-110447 niet voorkomt. NeoTeo berichtte eerder over de gemelde exploitatie van de ingebouwde CODE-app.

Bijwerken of verwijderen, niet alleen uitschakelen

Het uitschakelen van richdocumentscode is volgens Collabora onvoldoende: daarmee verdwijnt het kwetsbare proxy.php niet. Werk de app bij naar 26.4.303 of hoger, of verwijder haar. Bij Nextcloud 29 of ouder adviseert Collabora Nextcloud zelf te upgraden of de app te verwijderen, omdat die oudere Nextcloud-versies de gepatchte app niet kunnen installeren.

Welke Collabora-configuraties vallen buiten deze fout?

Deze kwetsbaarheid treft standalone Collabora Online-servers niet. Ook Nextcloud Office (richdocuments) dat verbinding maakt met een externe Collabora-server valt buiten deze specifieke kwetsbaarheid. Het gaat dus om de ingebouwde richdocumentscode-app, niet om iedere Nextcloud-installatie die Collabora gebruikt. CERT Polska sluit de externe serverconfiguratie eveneens uit in zijn beveiligingsadvies.

Voor wie geldt CISA's richtlijn?

CISA's richtlijn BOD 26-04 geldt alleen voor Amerikaanse instanties binnen de Federal Civilian Executive Branch (FCEB). De genoemde deadline voor die instanties valt op 26 oktober 2026. De richtlijn geeft prioriteit aan KEV-kwetsbaarheden op publiek toegankelijke systemen waarbij misbruik volledige controle oplevert, stelt kwetsbaarheden met een lager risico uit en bevat basisverwachtingen voor controles op compromittering vóór het patchen. CISA moedigt andere organisaties aan KEV-kwetsbaarheden eveneens prioriteit te geven.

Welke signalen kunnen op misbruik wijzen?

CERT Polska meldde op 20 oktober 2026 dat de kwetsbaarheid werd gebruikt bij ransomware-aanvallen en pogingen om servers over te nemen. De organisatie noemt drie aanknopingspunten voor onderzoek:

  • Bestanden met de naam shx*.php in apps/richdocumentscode.
  • Verzoeken in toegangslogboeken aan proxy.php?status met %2e%2e, $( of ${IFS}.
  • Pogingen om sudo uit te voeren vanuit het webserveraccount.

Deze signalen zijn aanleiding voor nader onderzoek, geen bewijs op zichzelf dat een server is gecompromitteerd.