米国のCISAは2026年10月23日、Nextcloud向けアプリ「Collabora Online – Built-in CODE Server」のCVE-2026-110447を実際に悪用された脆弱性の一覧(KEVカタログ)へ追加しました。認証なしで外部からOSコマンドを実行される脆弱性です。
対象はrichdocumentscode 26.4.303未満です。Collaboraの公式告知は、26.4.303以降への更新かアプリの削除を求めています。アプリを無効にするだけでは回避できません。
攻撃は内蔵CODEサーバーの停止中に成立
このアプリは、Nextcloud上で文書を編集するためのCODEサーバーを内蔵しています。問題があるのは、NextcloudとCODEサーバーの間を中継するproxy.phpの処理です。
コンテナーの再起動、更新作業、クラッシュなどでCODEサーバーが動いていない間に、外部からのリクエストでOSコマンドを実行される可能性があります。実行権限はWebサーバーのユーザー権限です。単独構成のCollabora Onlineサーバーは、この脆弱性の影響を受けません。
Collaboraは10月14日にアドバイザリを公開し、CVSS v4.0の基本値を9.2と評価しています。
更新と、アプリ内の不審なPHPファイルの確認を
Nextcloudの管理画面で、richdocumentscodeの有無とバージョンを確認してください。公式アプリ配布一覧では、Nextcloud 29以前の系列に修正前の版が残っています。Collaboraは、サポート終了済みのNextcloud 29以前について、Nextcloud本体を更新するか、このアプリを削除するよう案内しています。
CVEレコードには9月から10月にかけての悪用が記載されています。9月11日には、公式GitHubリポジトリのIssueで、利用者が複数のNextcloud環境にPHPのWebシェルを置かれたと報告しています。Webシェルは、外部からサーバーへ命令を送るための不正ファイルです。
同じIssueでCollaboraの開発者は、更新に加え、残存するshx*.phpファイルの除去を案内しています。脆弱版を使っていた環境では、apps/richdocumentscode/内の不審なPHPファイルも確認してください。
コメント