Swiss KMU Cyber-Alert: Nextcloud – Collabora-App wird aktiv ausgenutzt
Eine kritische Schwachstelle in der optionalen Nextcloud-App «Collabora Online – Built-in CODE Server» wird aktiv ausgenutzt. Angreifer können ohne Anmeldung Betriebssystembefehle als Webserver-Benutzer ausführen – jedoch nur in Momenten, in denen der integrierte CODE-Server nicht läuft, etwa nach einem Neustart, während eines Upgrades oder nach einem Absturz. Falls Ihre Firma Nextcloud selbst oder über einen IT-Dienstleister betreibt, sollte dieser die App-Version und mögliche Angriffsspuren jetzt prüfen.
Was ist passiert?
Collabora veröffentlichte die Sicherheitswarnung zu CVE-2026-110447 am 14. Oktober 2026. Die Schwachstelle wurde bereits seit dem 10. September 2026 gegen öffentlich erreichbare Nextcloud-Installationen ausgenutzt; beobachtet wurden dabei PHP-Webshells und nachfolgende Befehle auf betroffenen Servern.
Die Lücke hat einen CVSS-v4.0-Wert von 9.2. Ein erfolgreicher Angriff führt Befehle mit den Rechten des Webserver-Benutzers aus und kann damit Daten und Geheimnisse gefährden, auf die dieser Dienst zugreifen darf.
Könnte mein Unternehmen betroffen sein?
Betroffen sind Nextcloud-Installationen mit der optionalen App «Collabora Online – Built-in CODE Server» (Paket richdocumentscode) in Versionen vor 26.4.303. Der Angriff ist nur möglich, während der integrierte CODE-Server nicht läuft, beispielsweise bei einem Neustart, Upgrade oder Absturz.
Eigenständige Collabora-Online-Server sind laut Hersteller nicht betroffen. Wenn Ihre Firma Nextcloud als Cloud-Dienst bezieht, sollte der Anbieter bestätigen, ob diese konkrete Built-in-CODE-App eingesetzt wurde.
Was sollten Sie jetzt tun?
Beauftragen Sie Ihren IT-Dienstleister heute mit der Prüfung, ob Ihre Nextcloud-Umgebung die App richdocumentscode verwendet. Falls ja, muss sie auf Version 26.4.303 oder neuer aktualisiert werden; sinnvoll ist die aktuell unterstützte Version.
Das blosse Deaktivieren der App genügt nicht. Bei Nextcloud 29 oder älter verlangt der Hersteller ein Nextcloud-Upgrade oder das Entfernen der App. War die Installation seit dem 10. September 2026 aus dem Internet erreichbar, sollte zusätzlich eine Kompromittierungsprüfung erfolgen.
Wie dringend ist es?
Sehr dringend für betroffene Installationen: Die Ausnutzung ist bestätigt, benötigt keine Anmeldung und kann Befehle auf dem Server ausführen. Nicht betroffene Firmen müssen nichts unternehmen; entscheidend ist die rasche technische Prüfung der konkret installierten App.
Informationen für Ihren IT-Dienstleister
CVE-2026-110447; CVSS v4.0: 9.2 (Critical).
Betroffen: richdocumentscode < 26.4.303. Behoben ab 26.4.303.
Voraussetzung: Built-in CODE Server läuft gerade nicht, zum Beispiel während Neustart, Upgrade oder nach Absturz.
Angriffsweg: /apps/richdocumentscode/proxy.php?status; keine Anmeldung und keine Benutzeraktion erforderlich.
Beobachtete Spuren: PHP-Dateien nach dem Muster shx*.php, Quell-IP 139.28.18.122, webhook.site und SHA-256 4b9fbd0663fbfd6028fc216ed18e0d6ef3ae498a7fdc97083e4b0ce3cec40562.
Standalone Collabora Online ist nicht betroffen. Deaktivieren allein ist unzureichend; App aktualisieren oder entfernen.
