Nextcloud: Collabora-CODE-Server wird angegriffen. Heute noch prüfen

Wenn du Nextcloud mit dem eingebauten Collabora-Server betreibst, prüf das bitte heute. CVE-2026-110447 ist eine Befehlseinschleusung (OS Command Injection) in der App Collabora Online - Built-in CODE Server (richdocumentscode). Sie braucht weder Anmeldung noch Zutun eines Nutzers, ist mit CVSS 4.0: 9,2 bewertet und wird seit September ausgenutzt. CISA hat sie am 23. Oktober in die Liste der bekannten ausgenutzten Lücken aufgenommen, mit Frist 26. Oktober für US-Bundesbehörden.

Wer betroffen ist

• Betroffen: die App richdocumentscode in allen Versionen vor 26.4.303, auch wenn die App deaktiviert ist.
• Nicht betroffen: ein separater Collabora-Server (Docker, DEB/RPM-Pakete), Nextcloud All-in-One und Nextcloud Office (richdocuments), wenn es mit einem separaten Collabora-Server spricht. Die beiden Apps heißen ähnlich, also genau hinschauen, welche du hast.
• Nextcloud 29 und älter: die neueste dort installierbare App-Version ist 26.4.104, und die ist verwundbar. Du musst die App entfernen oder Nextcloud aktualisieren.

Wie der Angriff funktioniert, kurz

Die App hat ein Skript, proxy.php, das den mitgelieferten Collabora-Server startet, wenn eine Anfrage kommt und nichts lauscht. In den verwundbaren Versionen wurde der Anfragepfad in einen Shell-Befehl in doppelten Anführungszeichen gesetzt. Die Shell wertet dort $(...) aus, ein im Pfad versteckter Befehl läuft also als Webserver-Benutzer. Der Angriff klappt, solange der lokale CODE-Server nicht läuft, etwa nach einem Neustart, einem Update oder einem Absturz.

Die Angreifer legten eine einzeilige PHP-Web-Shell im App-Ordner ab und suchten danach nach Passwortdatenbanken, Passwortmanager-Dateien und Krypto-Wallets. Der erste protokollierte Angriff war am 10. September, einen Tag vor der korrigierten Version. CVE und Hinweis kamen erst am 14. Oktober, mehr als vier Wochen nach dem Fix. Das ist die eigentliche Lehre: Auf eine Sicherheitsmeldung zu warten, wäre zu spät gewesen.

Prüfen in fünf Minuten

cd /var/www/nextcloud
sudo -u www-data php occ app:list | grep -i richdocuments
sudo -u www-data php occ integrity:check-app richdocumentscode
find apps/richdocumentscode -name 'shx*.php'
find apps/richdocumentscode -name '*.php' -exec sha256sum {} + | grep 4b9fbd0663fbfd60

Die erste Zeile zeigt, ob du richdocumentscode hast (der eingebaute Server, verwundbar) und in welcher Version. Die zweite startet die Integritätsprüfung von Nextcloud für die App. Die letzten beiden suchen die bisher gemeldeten Web-Shells: Dateien namens shx….php und den Hash der einzeiligen Shell.

Dann die Logs, mindestens bis zum 10. September zurück (rotierte Logs eingeschlossen):

zgrep -hE 'richdocumentscode/proxy\.php' /var/log/nginx/access.log* \
  | grep -E '\$\(|%24%28|IFS|base64|%2e%2e'
zgrep -hE '139\.28\.18\.122|89\.38\.98\.50' /var/log/nginx/access.log*

Jeder Treffer beim ersten Befehl ist eine Anfrage, die etwas einschleusen wollte. Die beiden IP-Adressen stammen aus den öffentlichen Berichten. Logs rotieren, kein Treffer beweist also nicht, dass es früher keinen Angriff gab.

Beheben

• Aktualisieren: sudo -u www-data php occ app:update richdocumentscode. Korrigiert sind 26.4.303, 26.4.402 und 26.4.502 (Nextcloud 30 und neuer). Einige Admins meldeten Mitte Oktober Startprobleme mit 26.4.402 und gingen zurück auf 26.4.303.
• Oder entfernen, wenn du den eingebauten Server nicht brauchst: sudo -u www-data php occ app:remove richdocumentscode. Deaktivieren reicht nicht, das sagt Collabora ausdrücklich. Zum Bearbeiten von Dokumenten ist ein separater Collabora-Server ohnehin die sauberere Lösung.
• Ein Update entfernt keine Web-Shell. Die Prüfungen oben also auch nach dem Update laufen lassen, nicht nur davor.

Wenn du eine Web-Shell findest

Behandle es als Kompromittierung. Der Webserver-Benutzer kann die config.php lesen, also gelten Datenbankpasswort, Instanz-Secret und gespeicherte Zugangsdaten als offengelegt. Mein Rat: den Server aus dem Verkehr nehmen, bei Unsicherheit aus einem sauberen Backup wiederherstellen, das Datenbankpasswort und die Secrets in der config.php tauschen und Nutzer Passwörter und App-Passwörter ändern lassen. In den Berichten wurde kein Root-Zugriff beobachtet, eine Garantie ist das nicht.

Ein paar Tipps

• Optionale Apps entfernen, die du nicht nutzt. Jede App ist Angriffsfläche, und diese startet einen eigenen Serverprozess.
• Separater Collabora-Server oder All-in-One halten den Dokumentenserver von deinen Nextcloud-Dateien fern.
• Apps nach Plan aktualisieren, nicht erst, wenn eine Schlagzeile auftaucht. Der Fix existierte mehr als einen Monat vor dem Hinweis.
• Ein kleines Inventar führen: welche Nextcloud-Apps wo laufen. Dann ist ein Tag wie heute in fünf Minuten erledigt.

Quellen: BleepingComputer, The Hacker News und eSecurityPlanet. Weitere Nextcloud-Befehle im occ-Spickzettel. Zum Vergleich: mein Beitrag zum PHP-Notfall-Update.