Collabora publiceerde op 14 oktober 2026 een waarschuwing voor CVE-2026-110447, een kritieke kwetsbaarheid in de optionele Nextcloud-app Collabora Online - Built-in CODE Server (richdocumentscode). Versies vóór 26.4.303 zijn getroffen. Alleen de app uitschakelen is niet genoeg: Collabora adviseert bijwerken of verwijderen (beveiligingsadvies).
Welke Nextcloud-installaties zijn getroffen?
De kwetsbaarheid zit in de ingebouwde CODE-serverapp, niet in Nextcloud als geheel. Collabora zegt dat zelfstandige Collabora Online-servers niet getroffen zijn door CVE-2026-110447 (beveiligingsadvies).
De fout maakt het mogelijk om zonder in te loggen via proxy.php een besturingssysteemopdracht uit te voeren als de gebruiker van de webserver. Daarvoor moet de lokale CODE-server niet actief zijn, bijvoorbeeld tijdens een herstart of upgrade, of na een crash. Collabora classificeert de kwetsbaarheid als kritiek.
Wat is de oplossing?
Werk richdocumentscode bij naar versie 26.4.303 of hoger, of verwijder de app. De uitgavevermelding dateert versie 26.4.303 op 11 september 2026 (releasevermelding). Alleen uitschakelen verhelpt de kwetsbaarheid niet, aldus Collabora.
De vaste appversie vereist Nextcloud 30 of nieuwer. Voor gebruikers van Nextcloud 29 of ouder adviseert Collabora daarom Nextcloud bij te werken of de app te verwijderen (beveiligingsadvies; versiegegevens van de app).
Wat is er over aanvallen gemeld?
The Hacker News meldde dat beheerderslogs vanaf 10 september 2026 aanvalspogingen registreerden. De patch verscheen op 11 september; Collabora publiceerde het beveiligingsadvies op 14 oktober. The Hacker News berichtte ook dat drie beheerders een compromittering meldden. Volgens die berichtgeving is het totale aantal getroffen servers onbekend (verslag van The Hacker News).
