Collabora-Sicherheitslücke zur Remote-Codeausführung wird ausgenutzt, um Hintertüren auf Nextcloud-Servern zu installieren

Angreifer nutzen eine Collabora-Sicherheitslücke zur Remote-Codeausführung aus, um Nextcloud-Installationen zu kompromittieren, die die optionale App Built-in CODE Server verwenden. Administratoren berichten von PHP-Webshells und der Suche nach Passwortdatenbanken, Dateien von Passwortmanagern und Kryptowährungs-Wallets.

Die als CVE-2026-110447 registrierte Schwachstelle betrifft App-Versionen vor 26.4.303. Berichten zufolge fanden bösartige Aktivitäten bereits am 10. September statt, mehr als einen Monat vor der Veröffentlichung der offiziellen Sicherheitswarnung und des CVE-Eintrags.

Allerdings betrifft das Problem nicht jede Installation, die Collabora oder Nextcloud verwendet. Der betroffene Bereich beschränkt sich auf die optionale integrierte Server-App, die auch als richdocumentscode bekannt ist.

Schwachstelle betrifft den Startvorgang des integrierten Servers

Die Collabora-Sicherheitslücke zur Remote-Codeausführung befindet sich in dem Mechanismus, der den mitgelieferten Dokumentenserver startet.

Angreifer können eine speziell präparierte Anfrage an den proxy.php-Endpunkt der App senden, um eine Betriebssystem-Befehlsinjektion auszulösen. Eine erfolgreiche Ausnutzung setzt voraus, dass der integrierte CODE-Server gestoppt ist. Dies kann nach einem Neustart, einem Upgrade oder einem Absturz der Fall sein.

Weder eine Authentifizierung noch eine Benutzerinteraktion ist erforderlich.

Laut Collabora sind eigenständige Collabora-Online-Server nicht betroffen. Auch Docker-Bereitstellungen, RPM- und DEB-Installationen sowie Nextcloud-All-in-One-Installationen fallen nicht in den betroffenen Bereich.

Administratoren müssen daher feststellen, ob ihre Installation die anfällige integrierte App verwendet, anstatt davon auszugehen, dass alle Collabora-Integrationen dasselbe Problem aufweisen.

Administratoren melden Webshells und die Suche nach sensiblen Dateien

Betroffene Administratoren beschrieben Angriffe auf mehrere Endpunkte. Die entsprechenden Berichte reichen bis zum 10. September zurück.

Die Angreifer sollen PHP-Webshells installiert haben, die es ihnen ermöglichten, weitere Befehle über den kompromittierten Webserver auszuführen. Anschließend nutzten sie diesen Zugriff, um nach sensiblen Informationen zu suchen, darunter passwortbezogene Dateien und Kryptowährungs-Wallets.

Einige Berichte aus der Community enthielten außerdem Behauptungen über Ransomware-Aktivitäten. Diese Angaben wurden jedoch bislang nicht unabhängig bestätigt.

Nextcloud erklärte, dass das Unternehmen keine weitverbreitete Ausnutzung beobachtet habe. Dennoch zeigen die Berichte der Administratoren, dass Angreifer die Schwachstelle bereits vor ihrer offiziellen Offenlegung aktiv ausnutzten.

Aktualisierung oder Entfernung der App behebt die Schwachstelle

Administratoren sollten die App Built-in CODE Server auf Version 26.4.303 oder neuer aktualisieren. Alternativ können sie die App entfernen, wenn sie nicht mehr benötigt wird.

Collabora warnte ausdrücklich davor, dass eine bloße Deaktivierung der App nicht ausreicht.

Die Korrektur wurde am 9. September in die Codebasis aufgenommen, und die bereinigte Version erschien am 11. September. Eine Warnung aus der Community vom 3. Oktober forderte Nutzer anschließend zur Aktualisierung auf, da die Schwachstelle weiterhin ausgenutzt wurde.

Die offizielle Sicherheitswarnung und der CVE-Eintrag wurden jedoch erst am 14. Oktober veröffentlicht. Damit lagen mehr als vier Wochen zwischen der Veröffentlichung der korrigierten Version und der formellen Bekanntgabe.

Verzögerte Offenlegung wirft Fragen zur Nachverfolgung von Schwachstellen auf

Nextcloud erklärte, Collabora habe die Schwachstelle Mitte September gemeldet und ein Update über den App-Store bereitgestellt. Das Unternehmen begründete die verzögerte Offenlegung damit, den Nutzern Zeit für die Installation der Korrektur geben zu wollen.

Collabora führte die verspätete Ankündigung hingegen hauptsächlich auf Bearbeitungsrückstände bei der CVE-Verarbeitung durch GitHub zurück. Nach Angaben des Unternehmens belastete die zunehmende Zahl KI-gestützter Sicherheitsberichte diesen Prozess.

Eine separate Untersuchung von Second Security befasste sich mit ähnlichen Verzögerungen bei Schwachstellen in Open-Source-Software. Die Analyse ergab, dass die mediane Zeitspanne zwischen öffentlich verfügbaren Korrekturen und der CVE-Veröffentlichung im August 39 Tage erreichte, verglichen mit 5,1 Tagen im Januar.

Die Forscher fanden außerdem Fälle, in denen öffentlich verfügbarer Exploit-Code bereits wenige Stunden nach einer Korrektur erschien, bevor ein entsprechender CVE-Eintrag verfügbar war.

Im vorliegenden Fall verdeutlicht der zeitliche Ablauf ein praktisches Problem: Angreifer nutzten die betroffene App bereits aus, während Administratoren noch keine offizielle Schwachstellenkennung zur Verfügung stand.