CISA voegde CVE-2026-110447 op 23 oktober 2026 toe aan de Known Exploited Vulnerabilities-catalogus (KEV), op basis van aanwijzingen voor actieve exploitatie. De kwetsbaarheid zit in de optionele Nextcloud-app Collabora Online - Built-in CODE Server, pakket richdocumentscode: versies vóór 26.4.303 zijn kwetsbaar. De datum van 26 oktober in de CISA-catalogus hoort bij een federale Amerikaanse richtlijn, niet bij een algemene deadline voor alle beheerders.
Voor wie geldt de datum van 26 oktober?
CISA koppelde de datum aan BOD 26-04, dat volgens de instantie geldt voor agentschappen binnen de Amerikaanse Federal Civilian Executive Branch. CISA moedigt andere organisaties aan kwetsbaarheden uit KEV prioriteit te geven, maar de federale deadline is niet voor alle organisaties vastgesteld. De instantie voegde CVE-2026-110447 op 23 oktober toe aan KEV vanwege actieve exploitatie. CISA licht de toevoeging en de reikwijdte van BOD 26-04 toe.
De KEV-vermelding volgde op eerdere meldingen over exploitatie van de ingebouwde app, waarover NeoTeo eerder berichtte.
Welke Nextcloud-installaties lopen risico?
Het gaat om de optionele ingebouwde app richdocumentscode, niet om iedere Nextcloud-installatie of elke Collabora-server. Collabora beschrijft een ongeauthenticeerde injectie van besturingssysteemcommando’s via proxy.php. Een aanvaller kan daarmee opdrachten uitvoeren met de rechten van de webservergebruiker wanneer de ingebouwde CODE-server niet draait, bijvoorbeeld na een herstart, upgrade of crash. De kwetsbaarheid kreeg een CVSS 4.0-score van 9,2 en de classificatie Kritiek.
Collabora noemt versies van richdocumentscode vóór 26.4.303 kwetsbaar. Zelfstandige Collabora Online-servers zijn volgens het bedrijf niet getroffen. Het advies geldt dus voor de ingebouwde Nextcloud-app, niet voor een afzonderlijke Collabora-server.
Werk richdocumentscode bij of verwijder de app
Collabora adviseert de app bij te werken naar versie 26.4.303 of hoger, of deze te verwijderen. Alleen uitschakelen in Nextcloud volstaat niet. De kwetsbaarheid betreft de versie van de app; de vermelding van Nextcloud 29 of ouder is een afzonderlijk compatibiliteitspunt. Voor die oudere Nextcloud-versies adviseert Collabora het platform bij te werken of de app te verwijderen. De technische grens en herstelopties staan in Collabora’s beveiligingsadvies.
Welke sporen kunnen beheerders controleren?
CERT Polska raadt aan de map apps/richdocumentscode te controleren op bestanden met de naam shx*.php. Controleer ook toegangslogboeken op verzoeken aan proxy.php?status met %2e%2e, $( of ${IFS}, en op pogingen van het webserveraccount om sudo-commando’s uit te voeren. Dit zijn de concrete indicatoren die CERT Polska noemt in zijn beveiligingswaarschuwing.
ACN / CSIRT Italia meldde op 16 oktober over één onderzochte Nextcloud-server in Italië dat de aanvaller drie webshells installeerde en een configuratiebestand met database- en mailboxgegevens en applicatiesecrets meenam. Voor die server meldde de instantie op het moment van haar bulletin geen aanwijzingen voor toegang tot gebruikersdocumenten, escalatie naar beheerdersrechten, extra persistentie of laterale beweging. CERT Polska schreef op 20 oktober dat de kwetsbaarheid actief werd ingezet bij ransomware-aanvallen. In de CISA-catalogus stond op 24 oktober bij bekende ransomware-inzet de waarde “Unknown”.
