Eine kritische Sicherheitslücke in der weit verbreiteten Collabora-App für Nextcloud hat Angreifern wochenlang die Übernahme fremder Server ermöglicht. Die unter CVE-2026-110447 geführte Schwachstelle in der Nextcloud-Erweiterung „Collabora Online - Built-in CODE Server“ wurde nach Angaben von Collabora bereits am 11. September gepatcht, die zugehörige Sicherheitswarnung aber erst am 14. Oktober veröffentlicht. Zwischen Patch und Advisory lagen 35 Tage, in denen Angreifer gezielt ungepatchte Instanzen durchsuchten und Webshells hinterließen, wie BleepingComputer und The Hacker News übereinstimmend berichten.
Betroffen sind alle Versionen des App-Pakets richdocumentscode vor 26.4.303. Die CVSS-Einstufung von 9,2 markiert die Lücke als „kritisch“. Der Fehler liegt im eingebauten CODE-Server, der Office-Dokumente innerhalb von Nextcloud im Browser bearbeitbar macht. Über die Datei proxy.php konnten Angreifer unauthentifizierte Anfragen an den Webserver schicken und darüber Shell-Befehle mit den Rechten des PHP-Prozesses ausführen - genug, um Hintertüren im Nextcloud-Verzeichnis abzulegen oder weitere Nutzdaten zu laden.
Besonders brisant: Die Lücke ließ sich nur ausnutzen, solange der eingebettete Dokumentenserver nicht lief - also während Neustarts, Updates oder Abstürzen. In genau diesen Momenten griffen die Angreifer zu. Nach Darstellung von Collabora reichten einfache HTTP-Anfragen aus; weder Login noch Nutzerinteraktion waren nötig. Erste Angriffe tauchten laut GitHub-Reports schon am 10. September auf - einen Tag vor der stillen Patch-Veröffentlichung. Mindestens drei Admins meldeten in den folgenden Wochen Webshell-Funde.
Die Lücke betrifft nur die optionale Built-in-CODE-Server-App. Eigenständige Collabora-Online-Server, Docker- und RPM/DEB-Installationen sowie Nextcloud-All-in-One-Deployments sind nicht betroffen.
Was Administratoren jetzt tun müssen
Nach Angaben von Collabora reicht es nicht, die betroffene App im Nextcloud-Panel zu deaktivieren - ein deaktivierter Code-Server lauscht weiterhin auf proxy.php. Erforderlich ist entweder das Update auf Version 26.4.303 oder höher aus dem Nextcloud App Store oder die vollständige Deinstallation. Zusätzlich raten Sicherheitsforscher dazu, das Nextcloud-Verzeichnis nach unbekannten PHP-Dateien zu durchsuchen, denn ein erfolgreicher Angriff hinterlässt in der Regel eine Webshell im Dateisystem. Administratoren der Nextcloud-All-in-One-Variante, eigenständiger Collabora-Online-Server oder von Container-Installationen müssen laut Advisory nichts tun.
Die Lücke trifft eine Software, auf die zahlreiche europäische Behörden und mittelständische Unternehmen bei der Microsoft-365-Alternative setzen. Bund und Länder nutzen Nextcloud unter anderem für die Souveränitätsinitiative des IT-Planungsrats, der deutsche Hoster Ionos entwickelt gemeinsam mit Nextcloud die Open-Source-Suite Euro-Office. Die unglückliche Kommunikation - fünf Wochen zwischen Fix und Bekanntmachung, während aktive Angriffe liefen - dürfte in der Nextcloud-Community für Diskussionen sorgen. Collabora hat sich bisher nicht öffentlich zu dem Zeitabstand geäußert.