Es ist genau die Art von Lücke, die man sich für den eigenen Cloud-Speicher am wenigsten wünscht: kein Passwort nötig, keine Anmeldung, einfach Befehle auf dem Server ausführen. Betroffen ist die beliebte Erweiterung Collabora Online – Built-in CODE Server für Nextcloud, mit der viele Admins Office-Dokumente direkt im Browser bearbeiten lassen. Die Lücke trägt die Kennung CVE-2026-110447 und wird seit Wochen aktiv angegriffen.
DER FEHLER: Ein Server, der gar nicht laufen muss
Die CODE-Server-App bringt eine Datei proxy.php mit, die Anfragen an den eigentlichen Dokumentenserver durchreicht. Genau hier liegt das Problem: Läuft der interne CODE-Server gerade nicht — etwa weil er neu gestartet wurde oder kurz abgestürzt ist —, verarbeitet proxy.php eine eingehende Anfrage so fehlerhaft, dass daraus eine OS-Command-Injection wird (CWE-78). Im Klartext: Ein Angreifer kann Systembefehle direkt auf dem Server ausführen, ganz ohne sich jemals anzumelden.
Der CVSS-Wert von 9,2 kommt nicht von irgendwoher — der Angriff läuft aus der Ferne, braucht keine Benutzerinteraktion und trifft die komplette Vertraulichkeit, Integrität und Verfügbarkeit des Systems.
SEIT WANN DAS SCHON LÄUFT
Besonders unangenehm ist der Zeitplan: Collabora hat die fehlerhafte Version intern bereits am 11. September durch 26.4.303 ersetzt — einen Sicherheitshinweis mit der CVE-Nummer gab es aber erst am 14. Oktober, also mehr als einen Monat später. In der Zwischenzeit blieb vielen Admins verborgen, dass ihr Update überhaupt sicherheitsrelevant war. Sicherheitsforscher dokumentieren den frühesten bestätigten Angriff bereits für den 10. September: Drei Administratoren meldeten kompromittierte Server, auf denen Angreifer PHP-Webshells platziert hatten — kleine Hintertür-Skripte, über die sich der Zugriff jederzeit erneuern lässt.
WER BETROFFEN IST
Getroffen sind ausschließlich Nextcloud-Instanzen, die die integrierte CODE-Server-App (Paketname richdocumentscode) nutzen — also die Variante, bei der Nextcloud den Dokumentenserver gleich mitbringt. Eigenständige Collabora-Online-Installationen, die getrennt vom Nextcloud-Server laufen, sind von dieser konkreten Lücke nicht betroffen. Das betrifft vor allem kleinere Self-Hosting-Setups und Homelabs, die bewusst die einfache All-in-One-Variante gewählt haben, um sich einen zweiten Server zu sparen.
SO SCHÜTZT DU DICH — in 5 MINUTEN
- App-Verwaltung öffnen und prüfen, ob „Collabora Online – Built-in CODE Server“ installiert ist und welche Version läuft.
- Auf 26.4.303 oder neuer aktualisieren — am einfachsten über die Nextcloud-App-Verwaltung oder
occ app:update richdocumentscode. - Kein Update möglich? App vollständig entfernen, nicht nur deaktivieren. Collabora weist ausdrücklich darauf hin, dass ein deaktivierter CODE-Server die Lücke nicht schließt — der anfällige Code bleibt erreichbar.
- Nachsehen: ungewöhnliche
.php-Dateien im Datenverzeichnis, unbekannte Cron-Einträge, auffällige Logins in den Nextcloud-Protokollen seit dem 10. September.
FAZIT: Updates ohne Vorwarnung
Der Fall zeigt ein Muster, das Self-Hoster kennen sollten: Nicht jedes Update, das unauffällig in der Versionsliste auftaucht, ist harmlos — manche schließen still eine Lücke, die längst ausgenutzt wird. Wer seine Nextcloud-Instanz auf automatische App-Updates stellt, wäre hier ohne eigenes Zutun geschützt gewesen. Wer das nicht tut, sollte App-Versionen künftig regelmäßiger kontrollieren als einmal im Quartal.