Swiss KMU Cyber-Alert: ONLYOFFICE Docs – aktiv ausgenutzte Serverlücke ermöglicht Codeausführung
CISA bestätigt aktive Angriffe auf eine kritische Lücke in älteren ONLYOFFICE-Document-Servern. Betroffen sind Versionen vor 5.6.3, wenn JWT verwendet wird. Falls Ihr Unternehmen ONLYOFFICE Docs selbst oder über einen IT-Dienstleister betreibt, sollte die installierte Version heute geprüft werden.
Was ist passiert?
CISA hat CVE-2021-3199 am 8. Oktober 2026 in den Katalog der nachweislich ausgenutzten Schwachstellen aufgenommen. Damit ist bestätigt, dass die Lücke bei realen Angriffen eingesetzt wird.
Die Schwachstelle liegt im Upload-Bereich von ONLYOFFICE Document Server. Über eine manipulierte Bild-Upload-Anfrage kann ein entfernter Angreifer ohne Anmeldung eine Pfadmanipulation auslösen und Code auf dem Server ausführen, sofern JWT verwendet wird.
Könnte mein Unternehmen betroffen sein?
Betroffen sind ONLYOFFICE Document Server beziehungsweise ONLYOFFICE Docs in Versionen vor 5.6.3. Relevant ist dies für selbst betriebene Installationen und für Server, die ein IT-Dienstleister als Teil einer Dokumenten- oder Kollaborationslösung betreut.
Wenn Ihr Unternehmen kein ONLYOFFICE Docs einsetzt oder der Document Server mindestens Version 5.6.3 verwendet, ist diese konkrete Schwachstelle gemäss den offiziellen Angaben nicht anwendbar.
Was sollten Sie jetzt tun?
Beauftragen Sie Ihren IT-Dienstleister noch heute, nach selbst betriebenen oder betreuten ONLYOFFICE-Document-Servern zu suchen und Version, JWT-Konfiguration sowie Internet-Erreichbarkeit zu prüfen.
Betroffene Systeme sollten auf eine aktuelle unterstützte Version aktualisiert werden; mindestens Version 5.6.3 enthält die Korrektur.
War ein verwundbarer Server aus dem Internet erreichbar, sollte der IT-Dienstleister Protokolle und Systemzustand zusätzlich auf Hinweise einer Kompromittierung prüfen.
Wie dringend ist es?
Hoch für betroffene und erreichbare Server. Da aktive Ausnutzung bestätigt ist und ein Angriff ohne Anmeldung zur Codeausführung führen kann, sollte die Prüfung nicht bis zum nächsten regulären Wartungsfenster warten.
Informationen für Ihren IT-Dienstleister
CVE: CVE-2021-3199; CVSS 3.1: 9.8.
Produkt: ONLYOFFICE Document Server / ONLYOFFICE Docs vor Version 5.6.3.
Voraussetzung: JWT wird verwendet; Angriff über eine manipulierte Bild-Upload-Anfrage im /upload-Bereich.
Auswirkung: Umgehung von Sicherheitsbeschränkungen und Remote Code Execution.
Status: aktive Ausnutzung bestätigt; Aufnahme in CISA KEV am 8. Oktober 2026.
Massnahme: auf eine aktuelle unterstützte Version aktualisieren, mindestens 5.6.3; bei exponierten Altsystemen zusätzlich eine Kompromittierungsprüfung durchführen.
