De GitHub Advisory Database meldde op 14 oktober 2026 dat CVE-2026-110447 verschilt van CVE-2025-66208 en dat aanvallers de kwetsbaarheid in september en oktober 2026 in het wild uitbuiten. Het advies gaat over Nextclouds ingebouwde Collabora CODE-app richdocumentscode; zelfstandige Collabora Online-servers vallen buiten de beschreven kwetsbaarheid. Het advies noemt versies vóór 26.4.303 als kwetsbaar.
Welke Nextcloud-installatie is getroffen?
De kwetsbaarheid zit in Collabora Online - Built-in CODE Server, de Nextcloud-app richdocumentscode. Volgens het advies kan een aanvaller een besturingssysteemopdracht uitvoeren als de lokale CODE-server niet draait. De fout zit in proxy.php. Zelfstandige Collabora Online-servers zijn niet getroffen.
CVE-2026-110447 is volgens het advies een andere kwetsbaarheid dan CVE-2025-66208. NeoTeo schreef eerder over een waarschuwing rond de ingebouwde CODE-app in een apart artikel.
Wat betekenen de gemelde webshells na een update?
Pasquale Pillitteri beschrijft aanvallen waarbij niet-ingelogde verzoeken aan proxy.php?status een PHP-webshell in de appmap plaatsten. Die draaide met de rechten van het webserveraccount, doorgaans www-data. Pillitteri noemt drie openbare incidentmeldingen, waaronder webshells op meerdere servers met versie 26.4.302. Zijn berichtgeving meldt ook dat een update een eerder geplaatste shell niet verwijdert.
De update sluit volgens die berichtgeving de kwetsbare codeweg, maar maakt een afzonderlijke controle op bestaande bestanden dus niet overbodig. Uitschakelen van de app volstaat evenmin; het gemelde advies is richdocumentscode bij te werken naar 26.4.303 of hoger, of de app te verwijderen.
The Hacker News waarschuwde eveneens voor de webshells en adviseerde de app bij te werken of te verwijderen. De oorspronkelijke post is in het Engels:
Welke controles noemt de berichtgeving?
Pillitteri adviseert na het bijwerken of verwijderen van de app te zoeken naar bestanden met de patronen shx*.php en shrf*.php en toegangslogboeken vanaf 10 september te controleren op verdachte verzoeken aan proxy.php?status. Als een shell wordt gevonden, adviseert Pillitteri geheimen te vervangen die leesbaar zijn voor het webserveraccount.
Voor Nextcloud 29 of ouder noemt Pillitteri als opties de Nextcloud-installatie bij te werken of richdocumentscode te verwijderen, omdat die oudere versies de aangepaste appversie volgens het artikel niet kunnen installeren.
