Angreifer nutzen eine kritische Befehlsausführungsschwachstelle in der Anwendung Collabora Online - Built-in CODE Server, bekannt als richdocumentscode, innerhalb der Nextcloud-Plattform aus. Die Schwachstelle trägt die Kennung CVE-2026-110447, während Berichte von Administratoren darauf hindeuten, dass die Ausnutzung Mitte September begann – etwa einen Monat vor der Veröffentlichung der offiziellen Sicherheitswarnung und der CVE-Kennung.
Was geschieht?
Die Schwachstelle betrifft richdocumentscode-Versionen vor 26.4.303 und liegt in der Startmechanik des in die Nextcloud-Anwendung eingebetteten Collabora-Servers. Ein Angreifer kann eine speziell gestaltete Anfrage an den Endpunkt proxy.php senden, wodurch Betriebssystembefehle eingeschleust und ausgeführt werden.
Für die Ausnutzung sind weder eine Authentifizierung noch eine Benutzerinteraktion erforderlich. Es gibt jedoch eine wichtige Voraussetzung: Der eingebettete CODE-Server muss angehalten sein, wie es etwa nach einem Neustart oder Upgrade des Servers oder nach einem Ausfall geschehen kann. Administratoren berichteten, dass die bösartige Aktivität seit dem 10. September mehrere Endpunkte betraf.
Umfang der Betroffenheit und Abhilfemaßnahmen
Betroffen ist ausschließlich die optionale, eingebettete CODE-Server-Anwendung. Laut Collabora sind eigenständige Collabora-Online-Server, Installationen über Docker und RPM/DEB sowie Nextcloud-All-in-One-Distributionen nicht betroffen.
Den Angaben der Administratoren zufolge platzierten die Angreifer in PHP geschriebene Hintertüren und nutzten sie anschließend, um nach Passwortdatenbanken, Dateien im Zusammenhang mit Passwortmanagern und Kryptowährungs-Wallets zu suchen. Einige Nutzer erklärten, dass auch Betreiber von Ransomware die Schwachstelle ausnutzen, BleepingComputer konnte dies jedoch nicht unabhängig bestätigen.
Es wird empfohlen, auf Version 26.4.303 oder höher zu aktualisieren oder die Anwendung zu entfernen, wenn sie nicht benötigt wird. Der Anbieter warnt, dass eine alleinige Deaktivierung der Anwendung keine ausreichende Abhilfe darstellt. Außerdem veröffentlichte eine Community-Stelle am 3. Oktober eine Warnung und rief angesichts der anhaltenden Ausnutzung zu einer sofortigen Aktualisierung auf.
Warum ist diese Nachricht wichtig?
Die praktische Gefahr liegt in der Zeitspanne zwischen der Verfügbarkeit der Behebung und der offiziellen Offenlegung. Die Behebung wurde am 9. September in das Repository übertragen, die korrigierte Version am 11. September veröffentlicht, während die Warnung und die CVE-Kennung am 14. Oktober publiziert wurden – mit einem Abstand von mehr als vier Wochen. Während dieses Zeitraums war es für Administratoren schwieriger, das Problem zu erkennen und mit einer laufenden Angriffsaktivität in Verbindung zu bringen.
Nextcloud erklärte, Collabora habe das Unternehmen Mitte September über die Schwachstelle informiert und das Update sei über den App-Store verfügbar geworden. Die Verzögerung bei der Offenlegung wurde damit begründet, den Nutzern Zeit für die Aktualisierung zu geben und keine weit verbreitete Ausnutzung beobachtet zu haben. Collabora führte die Verzögerung hauptsächlich auf einen Rückstau bei der Bearbeitung von CVE-Anfragen auf GitHub zurück, der angesichts der zunehmenden Zahl von mit KI-Tools unterstützten Schwachstellenmeldungen entstanden sei.
Eine vom Quelle zitierte Studie des Cybersicherheitsunternehmens Second Security weist darauf hin, dass der mediane Zeitraum zwischen der öffentlichen Veröffentlichung von Behebungen und der Vergabe von CVE-Kennungen im August 39 Tage betrug, verglichen mit 5,1 Tagen im Januar. Die Studie stellte außerdem fest, dass öffentliche Exploit-Codes bereits wenige Stunden nach der Veröffentlichung einer Behebung und Tage vor der Veröffentlichung der CVE erscheinen können. Dadurch wird es umso wichtiger, die Produktaktualisierungen selbst zu überwachen und nicht allein auf eine CVE-Nummer zu warten, bevor Abwehrmaßnahmen ergriffen werden.