Nextcloud mit Collabora: Lücke im Built-in CODE Server wird ausgenutzt – was tun?
Die Nextcloud-Collabora-Sicherheitslücke CVE-2026-110447 betrifft Betriebe, die Dokumente direkt in ihrer eigenen Nextcloud bearbeiten. Über die App „Collabora Online – Built-in CODE Server“ können Angreifer ohne Anmeldung Befehle auf dem Server ausführen. Collabora hat die Lücke am 14. Oktober 2026 veröffentlicht und geschlossen, inzwischen wird sie aktiv ausgenutzt. Wer einen eigenständigen Collabora-Server betreibt oder nur Dateien in Nextcloud ablegt, ist nicht betroffen.
Was hinter der Lücke steckt
Nextcloud ist eine verbreitete Alternative zu Microsoft 365 und Dropbox, die viele Betriebe auf eigenen Servern oder bei einem Hoster betreiben. Damit man Word- und Excel-Dateien direkt im Browser bearbeiten kann, gibt es die App „Collabora Online – Built-in CODE Server“ (technischer Name: richdocumentscode). Sie bringt einen kleinen Office-Server gleich mit.
In dieser App steckt eine Schwachstelle in der Datei proxy.php. Über eine präparierte Anfrage lässt sich ein Betriebssystembefehl mit den Rechten des Webservers ausführen, ohne Benutzerkonto und ohne Zutun eines Nutzers. Collabora bewertet die Lücke mit 9,2 von 10 Punkten. Die US-Behörde CISA führt sie in ihrer Liste aktiv ausgenutzter Schwachstellen.
Ein Haken: Der Angriff klappt nur, solange der eingebaute Office-Server gerade nicht läuft, etwa nach einem Neustart, einem Upgrade oder einem Absturz. Das kommt in der Praxis häufiger vor, als man denkt.
Wer betroffen ist
Betroffen sind Nextcloud-Instanzen, auf denen die App Built-in CODE Server in einer Version vor 26.4.303 installiert ist. Wichtig: Die App nur zu deaktivieren genügt nach Angaben von Collabora nicht. Sie muss aktualisiert oder ganz entfernt werden.
Nicht betroffen sind:
- Betriebe, die Collabora Online als eigenständigen Server betreiben.
- Nextcloud-Installationen ohne diese App, etwa reine Dateiablagen.
Wer noch Nextcloud 29 oder älter nutzt, bekommt dafür keine Updates mehr. Dort heißt es: Nextcloud aktualisieren oder die App entfernen. Die Lücke ist übrigens nicht identisch mit der älteren CVE-2025-66208, deren Korrektur hilft hier nicht.
Sie betreiben Nextcloud, wissen aber nicht genau, welche Apps darauf laufen? Wir von Gakko-IT prüfen das für Sie, mehr dazu bei der IT-Infrastruktur.
So prüfen Sie Ihre Nextcloud
Als Administrator sehen Sie den Stand in wenigen Schritten:
- In Nextcloud unter Apps nach „Collabora Online – Built-in CODE Server“ suchen und die Versionsnummer ablesen.
- Alternativ auf dem Server mit dem Nextcloud-Werkzeug occ den Befehl app:list ausführen und nach richdocumentscode suchen.
- Ist eine Version unter 26.4.303 installiert, sofort handeln.
Weil die Lücke schon länger ausgenutzt wird, lohnt zusätzlich ein Blick auf Spuren. Sicherheitsforscher berichten von PHP-Webshells, also kleinen Hintertür-Dateien, mit Namen wie shx*.php, shrf*.php oder Nx_*.php, die seit spätestens Mitte September 2026 auf angegriffenen Servern auftauchten. Prüfen Sie das Nextcloud-Verzeichnis auf solche Dateien und sehen Sie in den Zugriffsprotokollen nach auffälligen Aufrufen von proxy.php.
Was jetzt zu tun ist
Diese Schritte haben Vorrang:
- Die App Built-in CODE Server auf 26.4.303 oder neuer aktualisieren. Wer sie nicht braucht, entfernt sie ganz.
- Nextcloud selbst auf eine unterstützte Version bringen.
- Den Server auf die oben genannten Spuren prüfen.
- Wurden verdächtige Dateien gefunden: Zugangsdaten, die auf dem Server gespeichert sind, wechseln, etwa Datenbank- und Mailpasswörter, und den Server von einer sauberen Sicherung neu aufbauen.
Eine einmal eingeschleuste Webshell verschwindet durch das Update nicht. Deshalb ist die Spurensuche kein optionaler Zusatz. Wie man so einen Vorfall geordnet abarbeitet, beschreibt der IT-Notfallplan.
Was der Fall für Betriebe mit eigener Cloud zeigt
Eine eigene Nextcloud ist für viele Betriebe eine gute Wahl, gerade wenn Daten im eigenen Haus bleiben sollen. Sie bringt aber Pflichten mit, die man bei Microsoft 365 oder Dropbox an den Anbieter abgibt: Updates von Nextcloud, Apps, PHP und Betriebssystem, Überwachung und Sicherung. Die Abwägung beschreibt Cloud oder eigener Server.
Praktisch heißt das: Jemand muss zuständig sein, Sicherheitsmeldungen im Blick haben und Updates zeitnah einspielen, siehe Patch-Management im kleinen Betrieb.
Wenn Sie Ihre Nextcloud prüfen lassen oder die Pflege abgeben möchten, übernehmen wir das gern, für Betriebe in Paderborn und OWL auch vor Ort. Was dazugehört, steht bei der IT-Infrastruktur. Einen ersten Überblick gibt der kostenlose Sicherheits-Check.