Betroffen ist die Nextcloud-App „Collabora Online – Built-in CODE Server“ (Paketname richdocumentscode) in allen Versionen vor 26.4.303. Für die Lücke CVE-2026-110447 (CVSS 4.0: 9,2, Einstufung „critical“) führt die US-Behörde CISA seit dem 23. Oktober 2026 einen Eintrag im Katalog bekannter ausgenutzter Schwachstellen. Deaktivieren der App schützt nicht: Sie muss auf 26.4.303 oder neuer aktualisiert oder entfernt werden.
Ob die App bei Ihnen läuft, lässt sich in der Nextcloud-App-Verwaltung unter den installierten Apps prüfen (dm-Einordnung). Steht dort der Built-in CODE Server in einer Version vor 26.4.303, besteht Handlungsbedarf. Wer Collabora als eigenen Server betreibt, ist laut Advisory nicht betroffen.
Wer betroffen ist und wer nicht
Nextcloud ist eine selbst betreibbare Plattform für Dateiablage, Kalender und Zusammenarbeit. Dokumente im Browser bearbeiten Nutzende dort über Collabora Online, eine Office-Suite auf Basis von LibreOffice. Diese lässt sich auf zwei Wegen anbinden: als separater Server oder über die Nextcloud-App „Collabora Online – Built-in CODE Server“, die einen Collabora-Server direkt mit der Nextcloud-Installation mitliefert. Technisch heißt diese App richdocumentscode.
Die Lücke liegt im Proxy dieser App. Laut dem GitHub-Advisory GHSA-g3vx-3m76-fghh von Collabora, veröffentlicht am 14. Oktober 2026, handelt es sich um eine nicht authentifizierte Befehlseinschleusung auf Betriebssystemebene („OS command injection“). Eine Anfrage an die Datei proxy.php kann demnach einen Betriebssystembefehl ausführen, und zwar mit den Rechten des Webserver-Benutzers. Das ist das Konto, unter dem Nextcloud selbst läuft; es hat typischerweise Zugriff auf Konfiguration und Daten der Installation. „Nicht authentifiziert“ bedeutet, dass dafür kein Login nötig ist.
Der Advisory nennt eine Bedingung: Der Angriff funktioniert nur, solange der eingebaute CODE-Server nicht läuft. Das ist bei einem Container-Neustart, einem Upgrade oder nach einem Absturz der Fall. Solche Zeitfenster entstehen im normalen Betrieb ohne Zutun, deshalb taugt die Bedingung nicht als Entwarnung.
Betroffen sind alle Versionen vor 26.4.303, behoben ist die Lücke in 26.4.303. Der Advisory grenzt die Lücke ausdrücklich von CVE-2025-66208 ab; es handelt sich nicht um denselben Pfad. Nicht betroffen sind laut Advisory „Standalone Collabora Online servers“, also eigenständig betriebene Collabora-Server. Aussagen zu bestimmten Betriebsformen wie Docker oder AIO macht der Advisory nicht; wer solche Setups nutzt, prüft deshalb schlicht, ob die App installiert ist und welche Version sie hat.
Einen Sonderfall nennt der Advisory ebenfalls: Wer noch eine Nextcloud bis Version 29 einsetzt, betreibt eine Version ohne Support (End of Life, EOL). Diese Nutzenden sollen laut Advisory ihre Nextcloud aktualisieren oder die App entfernen.
Zur Einordnung der CVSS-4.0-Bewertung von 9,2: Der Vektor besagt, dass sich die Lücke über das Netzwerk ansprechen lässt (AV:N) und dafür keine besondere Raffinesse nötig ist (AC:L). Weder Zugangsdaten (PR:N) noch eine Handlung der Nutzenden (UI:N) sind erforderlich. Vertraulichkeit, Integrität und Verfügbarkeit gelten als hoch betroffen, es geht also um Datenabfluss, Manipulation und Ausfall. Der Zusatz AT:P bedeutet, dass eine Voraussetzung erfüllt sein muss, nämlich der nicht laufende Built-in CODE Server. Das bremst die Bewertung kaum, denn Neustarts, Upgrades und Abstürze gehören zum normalen Betrieb (dm-Einordnung).
Die Zeitlinie von der Korrektur bis zur CISA-Warnung
Am 11. September 2026 erschien die App-Version 26.4.303 mit der Korrektur. Im Issue-Tracker von Collabora gehen laut heise die ersten Einträge zu dem Problem auf denselben Tag zurück. Betroffene berichteten dort von Webshells, die über richdocumentscode installiert wurden. Webshells sind Schadskripte, die Angreifenden Fernzugriff auf den Server geben. heise folgert daraus, dass die Angriffe „seit mindestens seitdem“ liefen; das ist eine Schlussfolgerung der Redaktion.
Der Advisory mit CVE-Nummer und Schweregrad folgte am 14. Oktober 2026. Am 23. Oktober 2026 nahm die CISA die Lücke laut CISA-Alert als „Collabora Online – Built-in CODE Server OS Command Injection Vulnerability“ in den KEV-Katalog (Known Exploited Vulnerabilities) auf. Am 26. Oktober 2026 um 08:34 Uhr MEZ berichtete heise darüber.
dm-Rechnung der Abstände: Vom 11. September bis 14. Oktober 2026 liegen 33 Tage (19 Tage bis Ende September, 14 Tage im Oktober). Bis zum KEV-Eintrag am 23. Oktober sind es 42 Tage (19 + 23). Wer erst nach dem Advisory reagiert hat, arbeitete also bereits mehr als einen Monat nach Veröffentlichung des Fixes.
Eine weitere dm-Rechnung: Zwischen dem Fix am 11. September und der heise-Meldung am 26. Oktober 2026 liegen 19 Tage bis Ende September plus 26 Tage im Oktober, zusammen 45 Tage. Wer nur CVE-Feeds beobachtete, sah bis zum 14. Oktober keinen Eintrag, obwohl die korrigierte Version seit dem 11. September vorlag (dm-Einordnung). Der Blick in die Release-Liste der App hätte früher Anlass zum Handeln gegeben.
Die Entwicklung ging nach der Korrektur weiter. Auf 26.4.303 folgten die Versionen 26.4.402 am 24. September und 26.4.502 am 23. Oktober 2026. Für die hier beschriebene Lücke gilt: 26.4.303 oder neuer genügt.
Was Admins jetzt tun sollten
Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptAdministrator at a laptop checking server status in a dim room, a small NAS on the desk, a green and amber status glow reflected on the face. Photorealistic editorial magazine photo, 16:9. Absolutely no text, no letters, no numbers, no logos, no brand marks.Die Reihenfolge ist: Bestand prüfen, aktualisieren oder entfernen, Spuren suchen, Zugangsdaten erneuern.
Installation und Version prüfen
Zuerst klären Sie, ob die App „Collabora Online – Built-in CODE Server“ installiert ist, auch wenn sie deaktiviert wurde. Eine deaktivierte, aber noch vorhandene App bleibt laut Advisory ein Risiko. Grenze dieses Schritts: Er sagt nur etwas über die App, nicht über einen separat betriebenen Collabora-Server, der nicht betroffen ist.
Aktualisieren oder entfernen
Ziel ist Version 26.4.303 oder neuer, so Advisory und heise. Wer die App nicht braucht, entfernt sie vollständig. Die korrigierte App-Version setzt laut heise Nextcloud 30 oder neuer voraus. Läuft Ihre Instanz auf Nextcloud 29 oder älter, steht zuerst ein Nextcloud-Upgrade an; ist das kurzfristig nicht machbar, bleibt laut Advisory nur das Entfernen der App. Grenze: Ein Update schließt die Lücke, macht aber einen bereits erfolgten Einbruch nicht rückgängig.
dm-Einordnung: Vor dem Upgrade einer Nextcloud-Version bis 29 auf Version 30 oder neuer gehört eine Sicherung von Datenbank, Konfiguration und Daten. Planen Sie dafür ein Wartungsfenster ein, weil das Upgrade die Instanz zeitweise unerreichbar macht. Prüfen Sie danach in der App-Verwaltung erneut, welche Version des Built-in CODE Servers tatsächlich installiert ist.
Auf Einbruchsspuren prüfen
heise rät Admins mit installierter App, die Instanz auf Einbruchsspuren zu prüfen, und verweist auf berichtete Webshells. Eine Liste konkreter Indikatoren bleibt bewusst außen vor. dm-Einordnung: Sinnvoll ist ein Abgleich der Dateien im Nextcloud-Verzeichnis mit einer sauberen Installation, besonders im Umfeld der App, sowie ein Blick in Webserver-Logs auf auffällige Anfragen an proxy.php seit dem 11. September 2026. Bleibt der Befund unklar, ist eine Neuinstallation aus sauberem Stand die sicherere Wahl.
Zugangsdaten erneuern
dm-Empfehlung: Weil der Webserver-Benutzer Zugriff auf die Nextcloud-Konfiguration hat, sollten Sie bei Verdacht oder bei einer Instanz, die lange ungepatcht erreichbar war, Datenbank-Passwörter, Geheimnisse in der Konfiguration und Zugangsdaten angebundener Dienste ersetzen.
Als dm-Empfehlung halten Sie jede Maßnahme mit Datum, erreichter Version und verantwortlicher Person fest. Bei der nächsten Warnung ist dann sofort klar, was geprüft wurde und was noch aussteht. Planen Sie außerdem eine Nachkontrolle nach dem nächsten Neustart des Servers oder Containers ein, weil genau solche Momente in der Advisory als Bedingung beschrieben werden.
Einordnung für den Self-Hosting-Betrieb
Der KEV-Katalog der CISA führt Schwachstellen, für die nach Angaben der Behörde eine Ausnutzung beobachtet wurde. Ein Eintrag ist damit ein Hinweis auf reale Angriffe, nicht auf deren Umfang. Wie die Behörde solche Einträge führt, zeigt auch das Beispiel einer Command Injection in Zimbra im KEV-Katalog.
dm-Einordnung: Ein KEV-Eintrag verschiebt die Priorität. Aus einem Punkt im regulären Wartungsplan wird eine Aufgabe für sofort, da die Behörde Hinweise auf tatsächliche Ausnutzung gesehen hat. Zusammen mit den berichteten Webshells im Issue-Tracker von Collabora stützt das die Bezeichnung „aktiv ausgenutzt“. Nicht daraus ableiten lässt sich, wie verbreitet die Angriffe sind, wer dahintersteckt oder welche Ziele verfolgt werden.
dm-Einordnung: Der Fall zeigt ein Inventarproblem. Die Lücke steckt nicht im Nextcloud-Kern, sondern in einer mitinstallierten App, die viele nach der Einrichtung vergessen. Wer eine Liste aller Apps und Container mit Version und Zweck pflegt, beantwortet die Frage „Läuft das bei uns?“ in Minuten. Wer sie nicht hat, muss sie bei jeder Warnung neu zusammensuchen. Bei Apps mit eigenem Serverprozess lohnt sich außerdem die Frage, ob ein separater Dienst die bessere Trennung bietet (dm-Einordnung).
Mitgelieferte Apps mit eigenem Serverprozess verdienen im Inventar eigene Zeilen (dm-Einordnung). Notieren Sie je App Version, Zweck, zuständige Person und Updateweg. Der Built-in CODE Server fällt sonst leicht unter den Sammeleintrag „Nextcloud“, obwohl er einen eigenen Versionsstand und eigene Risiken hat. Mit eigener Zeile fällt auf, wenn ein Versionsstand hinter der Warnlage zurückbleibt.
Ein zweiter Punkt betrifft die Updatefenster. Der Angriff setzt laut Advisory einen Zustand voraus, den Neustarts und Upgrades erzeugen. Ausgerechnet Wartungsarbeiten öffnen also das Zeitfenster. Ein Update, das zwischen Veröffentlichung am 11. September und Advisory am 14. Oktober ausblieb, war deshalb kein neutraler Zustand. Wer Updates in festen Intervallen einplant und Apps dabei einbezieht, verkürzt diese Spanne. Grundsätze dafür fasst die sichere Admin-Praxis beim Self-Hosting mit Docker und Kubernetes zusammen.
Öffnen Sie die App-Verwaltung und lesen Sie die Version des Built-in CODE Servers ab (dm-Empfehlung). Liegt sie unter 26.4.303, aktualisieren oder entfernen Sie die App; blockiert eine Nextcloud-Version bis 29 das Update, steht zuerst das Upgrade auf Version 30 an. Tragen Sie danach einen Termin für die Nachkontrolle in den Kalender ein.
