Collabora Online Built-in CODE Server: OS-Command-Injection ermöglicht Remotecodeausführung (CVE-2026-110447)

Was passiert ist

CVE-2026-110447 ist eine OS-Command-Injection-Schwachstelle in proxy.php im Collabora Online Built-in CODE Server, der als Nextcloud-App bereitgestellt wird. Wenn der CODE-Server nicht läuft – etwa kurz nach einem Neustart des Produkts – kann ein nicht authentifizierter Angreifer über das Netzwerk eine manipulierte Anfrage senden und Betriebssystembefehle ausführen. Es ist weder eine Benutzerinteraktion noch ein vorheriger Zugriff erforderlich. Die Schwachstelle betrifft eigenständige Collabora-Online-Server nicht; betroffen ist ausschließlich diese Bereitstellung des Built-in CODE Server.

Die Schwachstelle wird aktiv ausgenutzt. CISA hat die Schwachstelle am 23. Oktober 2026 in den Known Exploited Vulnerabilities-Katalog aufgenommen, die SSVC-Bewertung der CISA stuft die Ausnutzung als aktiv ein, und ENISA EUVD erfasst Ausnutzung seit dem 23. Oktober 2026. Der CVE-Eintrag weist darauf hin, dass es sich um eine andere Schwachstelle als CVE-2025-66208 handelt.

Wer betroffen ist

Betroffen sind Versionen des Collabora Online – Built-in CODE Server vor 26.4.303. Die betroffene App ist als richdocumentscode bekannt und stellt die Dokumentbearbeitung in Nextcloud bereit. Organisationen, die den eigenständigen Collabora-Online-Server betreiben, sind nicht betroffen. Ist diese Nextcloud-App vorhanden, ist die Instanz als betroffen zu behandeln, bis der Built-in CODE Server auf 26.4.303 aktualisiert wurde.

Was jetzt zu tun ist

In den verfügbaren Referenzen ist keine Problemumgehung des Herstellers aufgeführt; daher haben das Einspielen von Sicherheitsupdates und die Eingrenzung Vorrang.

1. Aktualisieren Sie den Collabora Online – Built-in CODE Server auf Version 26.4.303. Dies ist die korrigierte Version.
2. Wenn sich das Einspielen des Sicherheitsupdates verzögert, beschränken Sie die Netzwerkerreichbarkeit der Nextcloud-Instanz einschließlich proxy.php auf vertrauenswürdige Netzwerke oder authentifizierte Benutzer.
3. Überwachen Sie den Server auf unerwartete Befehls- oder Prozessaktivitäten, insbesondere nach Neustarts oder solange der Built-in CODE Server nicht läuft.

Wie man es erkennt

Prüfen Sie, ob proxy.php auf der Nextcloud-Instanz aus nicht vertrauenswürdigen Netzwerken erreichbar ist; eine aus dem Internet erreichbare Instanz ist als Erstes zu prüfen. Da die OS-Command-Injection auftritt, wenn der CODE-Server nicht läuft, sind Befehls- oder Prozessaktivitäten auf dem Server kurz nach einem Neustart oder einem Ausfall des CODE-Servers als verdächtig einzustufen. Die öffentlichen Referenzen enthalten keine vom Hersteller bereitgestellten Indikatoren für eine Kompromittierung.

Über den Patch hinaus

Da CISA KEV und ENISA EUVD aktive Ausnutzung erfassen, sind Erkennung und Reaktion die erste Verteidigungslinie. Mit Managed Detection and Response (MDR) können wir die auf eine OS-Command-Injection folgenden Aktivitäten nach der Ausnutzung erkennen, während Virtual CISO Services dabei helfen können, festzustellen, ob die Nextcloud-Instanz und proxy.php gegenüber nicht vertrauenswürdigen Netzwerken exponiert sind. Spielen Sie zuerst den Sicherheitspatch ein und schließen Sie anschließend die Angriffsfläche.