Eine kritische Sicherheitslücke in der Nextcloud-App "Collabora Online - Built-in CODE Server" wird aktiv ausgenutzt. Die Schwachstelle CVE-2026-110447 steckt in der Funktion zum Starten des eingebetteten Collabora-Servers und ermöglicht über den Endpunkt proxy.php eine Betriebssystem-Befehlsinjektion ohne Authentifizierung oder Interaktion des Benutzers.
Voraussetzung für den Angriff ist, dass der integrierte CODE-Server gestoppt ist, etwa nach einem Neustart, Upgrade oder Absturz. Nach Angaben betroffener Administratoren begannen die Angriffe bereits Mitte September. Angreifer legten PHP-Webshells an und suchten anschließend unter anderem nach Passwortdatenbanken, Passwort-Manager-Artefakten und Kryptowährungs-Wallets.
Betroffen sind Versionen vor 26.4.303 der optionalen integrierten App. Collabora veröffentlichte die behobene Version bereits am 11. September; die formale Sicherheitsmeldung und die CVE-Veröffentlichung folgten jedoch erst am 14. Oktober. Eigenständige Collabora-Installationen, Docker- und RPM/DEB-Installationen sowie Nextcloud-AIO sind laut Collabora nicht betroffen.
Administratoren sollten die App auf Version 26.4.303 oder höher aktualisieren oder sie entfernen, falls sie nicht benötigt wird. Eine bloße Deaktivierung reicht laut den Hinweisen nicht aus. Bei Anzeichen einer Kompromittierung sollten zusätzlich Webserver- und Systemprotokolle geprüft sowie betroffene Zugangsdaten und Schlüssel erneuert werden.