Collabora Online Built-in CODE Server: OS-Command-Injection in proxy.php

Zusammenfassung

Die Nextcloud-App Collabora Online - Built-in CODE Server (richdocumentscode) enthält eine OS-Command-Injection in proxy.php. Ein nicht authentifizierter Angreifer kann Befehle als Benutzer des Webservers ausführen, wenn der integrierte CODE-Server nicht läuft, beispielsweise nach einem Neustart, einem Update oder einem Absturz. Die Schwachstelle wird aktiv ausgenutzt; Angreifer haben Web Shells abgelegt und nach Zugangsdaten und Kryptowallet-Dateien gesucht. Eigenständige Collabora-Online-Server, Docker-Images und Pakete sind nicht betroffen.

Betroffen

• Nextcloud-App Collabora Online - Built-in CODE Server (richdocumentscode) Versionen vor 26.4.303 (v26.4.302 und älter)
• Nur Installationen mit der integrierten CODE-Server-App sind betroffen; eigenständiges Collabora Online, Docker und Distributionspakete sind nicht betroffen

Behoben in

• App richdocumentscode auf Version 26.4.303 oder neuer aktualisieren

Umgehung

• Es ist keine Workaround-Massnahme dokumentiert.
• Das Deaktivieren der App genügt nicht; auf 26.4.303 oder neuer aktualisieren oder die App entfernen.
• Erwägen Sie, den integrierten Server durch einen eigenständigen Collabora-Online-Server zu ersetzen, der nicht betroffen ist.

Ausnutzung

• Im September und Oktober 2026 in freier Wildbahn ausgenutzt.
• Am 23. Oktober 2026 in den Katalog der bekannten ausgenutzten Schwachstellen der CISA aufgenommen.
• Angreifer haben PHP-Web-Shells wie shx*.php und Nx_33143.php unter apps/richdocumentscode/ abgelegt und proxy.php?status angesprochen.
• Öffentliche Exploits sind gemäss Berichten verfügbar; Exploit-Details werden hier nicht aufgeführt.
• Die Anzahl kompromittierter Server ist unbekannt.

Unsere Empfehlung

• richdocumentscode auf 26.4.303 oder neuer aktualisieren oder die App entfernen, falls sie nicht benötigt wird.
• Ein Update allein genügt nicht, wenn die verwundbare Version exponiert war: Das App-Verzeichnis auf unerwartete PHP-Dateien prüfen und diese entfernen.
• Web-Server- und Zugriffslogs auf Anfragen an proxy.php prüfen, insbesondere auf kodierte Pfadtraversierung und Befehlssubstitution.
• Zugangsdaten rotieren, die der Benutzer des Webservers lesen konnte, etwa Datenbank- und Anwendungspasswörter.
• Prüfen, ob die Nextcloud-Version noch unterstützt wird; Nextcloud 29 und älter sind End of Life.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (3 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  adriyansyah-mf/cve-2026-110447 · Iceman2050/cve-2026-110447-checker · CyRouteWolf/cve-2026-110447-poc

Quellen der Recherche

• GitHub Security Advisory GHSA-g3vx-3m76-fghh (Collabora) github.com
• GitHub Advisory GHSA-f97p-r72q-64h2 github.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• Nextcloud community: To Collabora Built-in User: Update ASAP help.nextcloud.com
• GitHub issue richdocumentscode #354 github.com
• The Hacker News: Hackers backdoor Nextcloud servers thehackernews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:34.