LONDON (IT BOLTWISE) – Angreifer nutzten eine Schwachstelle in der Nextcloud-App „Collabora Online – Built-in CODE Server“, um Webshells auf den Servern abzulegen. Betroffen ist die Variante, bei der das lokal integrierte CODE Server-Setup beim Neustart oder Upgrade automatisch startet. Collabora empfiehlt das Update auf Version 26.4.303 oder die Entfernung der App, da Deaktivieren allein den Fehler nicht schließt. Mit dem CVE-Label „CVE-2026-110447“ liegt zudem eine veröffentlichte technische Anleitung für das Vorgehen vor.
Die Sicherheitslage für Nextcloud-Installationen bekommt mit einer neuen Schwachstelle eine konkrete, aber zugleich besonders heimtückische Angriffsfläche: Collabora hat eine Lücke in seiner optionalen App „Collabora Online – Built-in CODE Server“ unter der Bezeichnung CVE-2026-110447 adressiert. Der Kern ist kein generischer Datenleck, sondern eine Command-Injection-Schwäche im Zusammenspiel mit einem eingebauten lokalen CODE-Server. Dadurch konnten Angreifer Webshells in den App-Ordner schreiben, die anschließend Befehle entgegennehmen und mit den Rechten des Webserver-Accounts ausführen.
Technisch betrachtet hängt die Wirksamkeit der Attacke eng an einer Randbedingung. Der Fehler zeigt sich nur, wenn der lokale Dokumentserver gerade nicht erreichbar ist – etwa während eines Neustarts, während eines Upgrades oder nach einem Crash. In diesem Moment startet das Proxy-Skript proxy.php den lokalen CODE-Server bei einem eingehenden Request, und genau dann wird die Eingabe aus dem Request in eine Bash-Ablaufkette so eingebettet, dass die Shell in Versionen bis 26.4.302 Text aus der Anfrage expandieren und daraus eine Kommandoausführung ableiten kann. Collabora betont ausdrücklich, dass es nicht reicht, die App in Nextcloud einfach zu deaktivieren: Entscheidend ist, dass die betroffene App-Version aktualisiert oder entfernt wird.
Für die Einordnung in die Betreiberpraxis ist die Deployment-Form der App der entscheidende Unterschied. Die App unter dem Paketnamen richdocumentscode lädt eine Kopie der Collabora Online Development Edition (CODE) herunter und betreibt sie auf dem Nextcloud-Server selbst, damit Dokumente direkt im Nextcloud-Office-Kontext bearbeitet werden können. Laut Anbieter betrifft die Schwachstelle die Versionen vor 26.4.303; eigenständige, getrennte Collabora-Server-Setups sollen dabei nicht betroffen sein. In der Nextcloud-Community wurde zusätzlich darauf hingewiesen, dass Installationen, die ausschließlich die Nextcloud-Office-App (ohne die eingebaute CODE-Variante) nutzen, nicht in die gleiche Risikokategorie fallen.
Der Angriff selbst wurde im Feld offenbar wiederholt und lässt sich über Indikatoren nachvollziehen, ohne dass ein vollständiger Root-Zugriff belegt ist. Laut den Berichten mehrerer Admins wurden Requests an proxy.php?status mit manipulierten Pfadanteilen protokolliert; ein Administrator sah erste Anzeichen am 10. September und einen weiteren Versuch am Folgetag, jeweils aus derselben IP-Adresse. Die schädliche Nutzlast decodierte eine einzeilige PHP-Webshell in den App-Ordner und versuchte anschließend, Systeminformationen über uname -a an einen Webhook-Dienst zu übermitteln. In einem Fall suchte die Shell danach gezielt nach möglichen Geheimnisablagen und Krypto-Wallets, darunter Dateinamenmuster wie *.kdbx, wallet.dat und keystore.json sowie bekannte Wallet-/Password-Umgebungen; dabei wurde jedoch gleichzeitig vermerkt, dass in den geprüften Requests keine Archivierung oder exfiltrierende Datei-Uploads sichtbar waren.
Die Reparatur adressiert dabei genau den Mechanismus, der die Expansion aus der Anfrage möglich machte. Collabora beschreibt, dass in proxy.php der Startbefehl so umgebaut wurde, dass die Optionen an Bash als einzelne, escaped Argumente übergeben werden und die Shell den Request-Text nicht mehr als auszuführenden Inhalt expandieren kann. Diese Korrektur wurde in den behobenen Versionen ab 26.4.303 ausgeliefert; die unterstützten Nextcloud-Versionen sind in diesem Zusammenhang relevant, weil die gepatchte App laut Anbieter Nextcloud 30 oder neuer voraussetzt. Für Betreiber mit Nextcloud 29 oder älter gilt deshalb: Entweder Nextcloud aktualisieren oder die App entfernen, da die App-Store-Auslieferung dort weiterhin die betroffene Version enthalten kann.
Für das Incident-Response-Vorgehen stellt der konkrete Maßnahmenplan einen schnellen Abgleich sicher. Nach einem Update sollten Betreiber im App-Verzeichnis apps/richdocumentscode nach Dateien suchen, die dem Muster shx*.php entsprechen, und diese entfernen. Zusätzlich empfiehlt es sich, Access Logs rückwirkend bis mindestens zum 10. September zu prüfen, ob Requests an proxy.php?status vorkamen, deren Pfad typische Payload-Marker enthält, beispielsweise %2e%2e, $( oder ${IFS}; auch Anzeichen für sudo-Versuche durch den Webserver-Account sind ein relevanter Signalwechsel. Interessant ist zudem, dass die Kennzeichnung der Schwachstelle in der Wildnutzung auf September und Oktober 2026 verweist und damit die Zeitachse der Feldbeobachtung unterstreicht, auch wenn die genaue Anzahl kompromittierter Server nicht beziffert wurde.
Ein weiterer Praxispunkt ergibt sich aus dem Update-„Reibungsverlust“: Version 26.4.402 wurde am 24. September veröffentlicht und soll den Startbefehl umgebaut haben, dennoch berichten Admins, dass der lokale CODE-Server in bestimmten Setups nicht zuverlässig startet oder Dokumente nicht mehr korrekt öffnet. In der Folge sind viele Teams bei 26.4.303 geblieben, also genau bei jener Version, die in der Anleitung als Fix benannt ist. Für Unternehmen und Betreiber mit produktiven Dokumenten-Workflows bedeutet das vor allem eins: Eine schnelle Aktualisierung oder Deinstallation der App ist nicht nur „best practice“, sondern reduziert die Angriffsfenster, die an Neustart- und Upgrade-Phasen gekoppelt sind – also an Zeitpunkte, in denen ohnehin Wartung stattfindet und ein Angriff besonders unauffällig laufen kann.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Nextcloud: Collabora „Built-in CODE Server“ setzt Webshells per CVE-2026-110447" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Nextcloud: Collabora „Built-in CODE Server“ setzt Webshells per CVE-2026-110447" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Nextcloud: Collabora „Built-in CODE Server“ setzt Webshells per CVE-2026-110447« bei Google Deutschland suchen, bei Bing oder Google News!