Collabora verklaarde op 15 oktober 2026 dat de vertraging rond CVE-2026-110447 vooral kwam door achterstanden bij de CVE-verwerking door GitHub. Volgens het bedrijf was de doorlooptijd opgelopen van ongeveer één dag tot vele weken. Voor beheerders is de herstelactie concreet: werk de getroffen Nextcloud-app richdocumentscode bij naar versie 26.4.303 of hoger, of verwijder de app. Collabora lichtte de vertraging toe in een blogbericht.
Collabora schreef dat het in 2026 een hoeveelheid beveiligingsmeldingen had beoordeeld en afgehandeld die overeenkwam met ongeveer tien jaar werk. Het bedrijf zei ook een aanvraag te doen om een CVE Numbering Authority (CNA) te worden, zodat het zelf CVE-nummers kan toekennen. Dat is Collabora’s eigen verklaring voor de vertraging en de voorgestelde verandering in het meldproces.
Van gemelde oplossing tot officieel advies
| Datum | Gebeurtenis |
| 9 september 2026 | BleepingComputer meldde dat Collabora een oplossing had vastgelegd in de code. |
| 10 september 2026 | Vroegste datum van een door beheerders gemelde aanval, volgens BleepingComputer. |
| 11 september 2026 | BleepingComputer meldde de uitgave van richdocumentscode 26.4.303. |
| 14 oktober 2026 | Collabora publiceerde het beveiligingsadvies voor CVE-2026-110447. |
| 15 oktober 2026 | Collabora publiceerde zijn uitleg over de vertraging. |
BleepingComputer meldde op 15 oktober dat beheerders aanvallen op meerdere endpoints hadden gerapporteerd, met 10 september als vroegste genoemde aanvalsdatum. Volgens die meldingen waren PHP-webshells geplaatst en werd gezocht naar opslagplaatsen met inloggegevens en gegevens over cryptowallets. BleepingComputer schreef ook dat Nextcloud had gezegd gebruikers tijd te willen geven om bij te werken en geen grootschalige exploitatie te hebben waargenomen. De berichtgeving van BleepingComputer schrijft beide verklaringen aan de betreffende partijen toe.
Welke Nextcloud-installaties zijn getroffen?
De kwetsbaarheid zit in de optionele Nextcloud-app Collabora Online - Built-in CODE Server, met pakketnaam richdocumentscode. Collabora’s beveiligingsadvies, gepubliceerd op 14 oktober, noemt versies ouder dan 26.4.303 als kwetsbaar. Een niet-geauthenticeerd verzoek via proxy.php kan een besturingssysteemopdracht uitvoeren met de rechten van de webservergebruiker als de ingebouwde CODE-server niet draait. Dat kan bijvoorbeeld gebeuren tijdens een herstart of upgrade, of na een crash.
Collabora noemt zelfstandige Collabora Online-servers, Docker-images, RPM- en DEB-pakketten en Nextcloud All-in-One-images als niet getroffen. De kwetsbaarheid betreft dus de specifieke ingebouwde app. NeoTeo berichtte eerder over de exploitatie van die app in een apart artikel.
Alleen richdocumentscode uitschakelen is volgens Collabora niet voldoende: werk de app bij naar 26.4.303 of hoger, of verwijder haar. Voor Nextcloud 29 of ouder adviseert Collabora om Nextcloud zelf bij te werken of de app te verwijderen. De oplossing voor CVE-2025-66208 voorkomt CVE-2026-110447 niet.
