Nextcloud内蔵Collabora CODEの脆弱性を悪用する攻撃、報告相次ぐ

内蔵CODE Serverが停止していることが条件

BleepingComputerは、攻撃者がNextcloud向けCollabora Online - Built-in CODE Serverアプリ（richdocumentscode）のコマンドインジェクション脆弱性CVE-2026-110447を悪用していると報じた。
報道によれば、内蔵CODE Serverが停止している状態でproxy.phpに悪意あるリクエストを送ると、認証や利用者の操作なしにOSコマンドを実行できるという。
管理者からは、PHPウェブシェル（サーバーを遠隔操作できるようにするスクリプト）が設置され、パスワードデータベース、パスワードマネージャーの痕跡、暗号資産ウォレットが探索されたとの報告がある。
影響対象は26.4.303より前のrichdocumentscodeで、Collaboraによれば、単独運用のCollabora Onlineサーバー、DockerおよびRPM/DEBインストール、Nextcloud All-in-Oneは影響を受けない。

影響を受けたサーバー数や悪用の広がりについて比較可能な基準値は、今回確認できた情報だけでは分からない。

新たに報じられたのは、Nextcloudの任意機能である内蔵CODE Serverアプリに対し、CVE-2026-110447が実際に悪用され、コマンドインジェクション後にウェブシェルが設置されたとの管理者報告である。

報じられた事案は、NextcloudやCollaboraの全構成ではなく、オプションの同梱コンポーネントに限定される。
また、悪用成功には内蔵サーバーが停止していることが条件とされる。
報道は、26.4.303以降への更新、または不要な場合のサーバーアプリ削除を推奨し、アプリを無効化するだけでは不十分だとしている。