Nextcloud und Collabora: Lücke CVE-2026-110447 wird bereits ausgenutzt, was zu prüfen ist

Viele KMU nutzen Nextcloud als Firmen-Cloud für Dateien, Kalender und gemeinsame Dokumente, oft auf einem eigenen Server oder einem VPS. Wer die Dokumentbearbeitung im Browser mit der optionalen App «Collabora Online - Built-in CODE Server» (technischer Name richdocumentscode) aktiviert hat, sollte jetzt die installierte Version prüfen: Eine kritische Schwachstelle in dieser App, CVE-2026-110447, erlaubt es, ohne Authentifizierung Befehle auf dem Server auszuführen, und sie wurde bereits ausgenutzt.

Am 23. Oktober 2026 hat die US-Behörde CISA sie in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Nachfolgend finden Sie die geprüften Fakten, wer betroffen ist und was zu tun ist.

Was passiert ist

Laut dem am 14. Oktober 2026 veröffentlichten Sicherheitshinweis von Collabora kann das Skript proxy.php der App dazu gebracht werden, einen Betriebssystembefehl mit den Rechten des Webserver-Benutzers auszuführen. Weder Zugangsdaten noch eine Interaktion des Benutzers sind nötig. Der CVSS-4.0-Wert beträgt 9,2 von 10, kritisch.

Es gibt eine Bedingung: Der Angriff funktioniert nur, solange der integrierte CODE-Server nicht läuft, etwa beim Neustart eines Containers, während eines Updates oder nach einem Absturz. Das Zeitfenster ist begrenzt, öffnet sich aber bei jedem Neustart erneut.

Die Korrektur war seit dem 11. September 2026 mit Version 26.4.303 der App verfügbar, allerdings ohne Sicherheitshinweis. Die CVE-Kennung folgte erst am 14. Oktober. Collabora erklärt in seinem Blog, die Verzögerung sei vor allem auf die Bearbeitungszeiten für CVEs bei GitHub zurückzuführen, die durch die grosse Zahl KI-generierter Sicherheitsmeldungen gestiegen seien.

Die Bedrohungslage

Der Eintrag zur Schwachstelle in der NVD hält fest, dass die Lücke im September und Oktober 2026 ausgenutzt wurde. Laut Berichten von Administratoren, die BleepingComputer und The Hacker News zusammengetragen haben, datiert der erste protokollierte Angriff vom 10. September 2026, einen Tag nachdem die Korrektur im Quellcode veröffentlicht wurde. Die Angreifer legten kleine PHP-Dateien ab, die als Hintertür dienen (Web-Shells), und suchten damit nach Passwortdatenbanken und Kryptowallets. Wie viele Server betroffen sind, ist nicht bekannt.

Bereits am 3. Oktober hatte ein Nutzer im offiziellen Nextcloud-Forum zum Update aufgerufen, weil die Lücke ausgenutzt wurde und noch kein öffentlicher Hinweis existierte.

Wer betroffen ist

• Betroffen: wer die App «Collabora Online - Built-in CODE Server» (richdocumentscode) in einer Version vor 26.4.303 installiert hat.
• Nicht betroffen sind laut Collabora eigenständige Collabora-Online-Server, Docker-Images, RPM/DEB-Pakete und Nextcloud All-in-One sowie Installationen, die einen gehosteten Collabora-Dienst nutzen.

Collabora weist darauf hin, dass die integrierte App vor allem für Privatanwender gedacht ist, nicht die empfohlene Installationsmethode ist und nur von einer Minderheit der Nextcloud-Nutzer verwendet wird. In der Praxis findet man sie aber auch in kleinen Firmeninstallationen, gerade weil sie der schnellste Weg ist, Office-Dokumente in Nextcloud zu bearbeiten.

Ein wichtiger Punkt: Das Deaktivieren der App genügt nicht. Das verwundbare Skript bleibt im App-Ordner und kann direkt aufgerufen werden. Die App muss auf Version 26.4.303 oder neuer aktualisiert oder entfernt werden.

Was jetzt zu tun ist

1. Installation prüfen

Prüfen Sie in der Nextcloud-Verwaltung unter Apps, ob «Collabora Online - Built-in CODE Server» vorhanden ist und in welcher Version. Wird Ihre Nextcloud von einem Anbieter betrieben, fragen Sie ihn schriftlich, ob die App installiert und aktuell ist.

2. Aktualisieren oder entfernen

Aktualisieren Sie die App auf Version 26.4.303 oder neuer. Die korrigierten Versionen setzen Nextcloud 30 oder neuer voraus: Im Nextcloud App Store ist zum Zeitpunkt dieses Beitrags für Nextcloud 30 bis 35 die Version 26.4.502 verfügbar, während Nextcloud 29 und älter weiterhin eine verwundbare Version angeboten wird. Nextcloud 29 und älter erhalten keine Updates mehr: In diesem Fall Nextcloud aktualisieren oder die App entfernen. Wenn Sie die Dokumentbearbeitung im Browser nicht nutzen, ist das Deinstallieren die einfachste Lösung.

3. Prüfen, ob der Server kompromittiert wurde

Das Update schliesst die Lücke, macht aber einen bereits erfolgten Einbruch nicht rückgängig. Wenn die verwundbare App installiert und der Server aus dem Internet erreichbar war:

1. Führen Sie die Integritätsprüfung von Nextcloud aus (Verwaltungseinstellungen, Übersicht): Sie meldet PHP-Dateien, die nicht zum offiziellen Paket gehören. In einem der im Forum gemeldeten Fälle hat genau diese Prüfung die Web-Shell aufgedeckt.
2. Suchen Sie nach unerwarteten PHP-Dateien im App-Ordner und in der übrigen Installation.
3. Prüfen Sie die Zugriffsprotokolle des Webservers mindestens ab dem 10. September 2026, insbesondere Anfragen an das Skript proxy.php der App.
4. Finden Sie Spuren einer Kompromittierung, gilt alles als exponiert, was der Webserver-Benutzer lesen konnte: Ändern Sie das Datenbankpasswort und die übrigen Zugangsdaten in der Nextcloud-Konfiguration, auch jene für E-Mail, und erwägen Sie eine Wiederherstellung aus einem sauberen Backup.

4. Exposition künftig verringern

Für den geschäftlichen Einsatz ist ein separater Collabora-Server der integrierten App vorzuziehen, und der Zugang zu Nextcloud sollte, wo möglich, über VPN oder Mehrfaktor-Authentifizierung eingeschränkt werden (siehe die fünf Stufen sicherer Anmeldung des BACS). Der Fall bestätigt auch einen Punkt aus den PHP-Sicherheitslücken dieser Woche: Updates sollten regelmässig installiert werden, auch wenn sie ohne Sicherheitshinweis erscheinen.

Meldepflichten in der Schweiz

Wurde ein Server mit Kunden- oder Mitarbeiterdaten kompromittiert, kommen auch rechtliche Fragen ins Spiel:

• Datenschutz (revDSG): Eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt, muss gemäss Art. 24 DSG so rasch als möglich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet werden. Der EDÖB stellt ein Online-Formular und einen Leitfaden zur Verfügung.
• Kritische Infrastrukturen: Seit dem 1. April 2025 müssen Betreiberinnen kritischer Infrastrukturen, darunter auch Kantons- und Gemeindeverwaltungen, Cyberangriffe innerhalb von 24 Stunden nach der Entdeckung dem BACS melden.
• Für alle anderen Unternehmen ist eine Meldung an das BACS freiwillig, aber nützlich: Das Online-Formular liefert auch eine erste Einschätzung des Falls.

Die Studie «KMU Cybersicherheit 2026» hat gezeigt, dass gerade die organisatorische Vorbereitung, also zu wissen, wer im Ernstfall was tut, die Schwachstelle vieler KMU ist.

Häufige Fragen

Ich nutze Nextcloud: Bin ich automatisch gefährdet?

Nein. Die Lücke betrifft nur die optionale App «Collabora Online - Built-in CODE Server». Nextcloud selbst und separat installierte Collabora-Server sind nicht betroffen.

Ich habe die App deaktiviert: Reicht das?

Nein. Laut Collabora genügt das Deaktivieren nicht: Die App muss auf Version 26.4.303 oder neuer aktualisiert oder entfernt werden.

Ich habe im September aktualisiert: Muss ich noch etwas tun?

Der erste dokumentierte Angriff datiert vom 10. September, also vor der korrigierten Version. War die verwundbare App in dieser Zeit installiert, lohnt es sich, die Integritätsprüfung auszuführen und die Protokolle anzusehen.

Meine Nextcloud wird von einem Anbieter betrieben: Was soll ich tun?

Verlangen Sie eine schriftliche Bestätigung, dass die integrierte App nicht installiert oder aktuell ist, und ob Prüfungen auf eine mögliche Kompromittierung durchgeführt wurden.

Unser Ansatz

ElaraTeq Sagl betreibt Websites und Anwendungen für KMU und öffentliche Stellen im Tessin mit Hosting in der Schweiz. Wir können Ihre Nextcloud-Installation prüfen, die verwundbare App aktualisieren oder entfernen und die Integrität des Servers kontrollieren. Für die laufende Wartung gibt es den in Orbit beschriebenen Service; für eine Prüfung kontaktieren Sie uns.

Quellen

• Collabora, Sicherheitshinweis «Unauthenticated OS command injection in the richdocumentscode proxy», 14. Oktober 2026: GHSA-g3vx-3m76-fghh
• Collabora, «Stay Safe: Upgrade Everything Regularly», 15. Oktober 2026: collaboraonline.com
• NIST NVD, CVE-2026-110447; CVE Program, CVE-2026-110447
• CISA, «CISA Adds One Known Exploited Vulnerability to Catalog», 23. Oktober 2026: cisa.gov
• Nextcloud Community, «To Collabora Built-in User: Update ASAP», 3. Oktober 2026: help.nextcloud.com
• Nextcloud App Store, Collabora Online - Built-in CODE Server (verfügbare Versionen, abgerufen am 24. Oktober 2026)
• BleepingComputer, 15. Oktober 2026: Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers; The Hacker News, 14. Oktober 2026: Hackers Backdoor Nextcloud Servers
• EDÖB, Meldung von Datensicherheitsverletzungen; BACS, Meldepflicht für Cyberangriffe auf kritische Infrastrukturen