攻撃者は、Nextcloudプラットフォーム内のCollabora Online - Built-in CODE Serverアプリ（richdocumentscodeとして知られる）に存在するCVE-2026-110447の深刻なコマンド実行脆弱性を悪用している。管理者の報告によると、悪用は公式のセキュリティ通知とCVE識別子が公開される約1か月前、9月中旬に始まった。
何が起きているのか？
この脆弱性は26.4.303未満のrichdocumentscodeバージョンに影響し、Nextcloudアプリ内に組み込まれたCollaboraサーバーの実行メカニズムに存在する。攻撃者は、proxy.phpエンドポイントに細工したリクエストを送信することで、オペレーティングシステムのコマンドを注入し、実行できる。
悪用に認証やユーザー操作は必要ないが、重要な条件がある。組み込みCODEサーバーが停止していなければならず、これはサーバーの再起動やアップグレード、障害の発生後に起こる可能性がある。管理者は、悪意のある活動が9月10日以降、複数のエンドポイントに及んでいると報告している。
影響範囲と対処
影響は、オプションの組み込みCODE Serverアプリに限定される。Collaboraによると、スタンドアロンのCollabora Onlineサーバー、DockerおよびRPM/DEB経由のインストール、Nextcloud All-in-Oneディストリビューションは影響を受けない。
管理者の報告によると、攻撃者はPHPで記述されたバックドアを仕込み、それらを使ってパスワードデータベース、パスワードマネージャーに関連するファイル、暗号資産ウォレットを探していた。一部のユーザーは、ランサムウェア事業者もこの脆弱性を悪用していると述べているが、BleepingComputerはそれを独自に確認できていない。
26.4.303以降に更新するか、必要がなければアプリを削除することが推奨される。ベンダーは、アプリを無効化するだけでは十分な対処にならないと警告している。また、コミュニティ組織は10月3日に警告を公開し、悪用が継続しているとして直ちに更新するよう呼びかけた。
なぜこのニュースが重要なのか？
実務上の危険性は、修正の提供と公式開示の間にある時間差にある。修正は9月9日にリポジトリへ送られ、修正版は9月11日にリリースされた一方、セキュリティ通知とCVE識別子が公開されたのは10月14日で、4週間を超える差があった。この期間、管理者が問題を特定し、進行中の攻撃活動と結び付けることはより困難だった。
Nextcloudは、Collaboraから脆弱性の報告を受けたのは9月中旬であり、更新はアプリストアを通じて利用可能になったと述べた。同社は、ユーザーに更新の時間を与え、広範な悪用が確認されていなかったことを、開示が遅れた理由として説明した。Collaboraは、遅延の主な原因を、人工知能ツールに支援された脆弱性報告の増加を背景とするGitHub上のCVEリクエスト処理の滞留にあると説明した。
情報源がサイバーセキュリティ企業Second Securityから引用した調査によると、公開修正の提供からCVE識別子の公開までの期間の中央値は、1月の5.1日から8月には39日に延びた。また、同調査は、公開されたエクスプロイトコードが修正のリリースから数時間以内、CVEの公開より数日前に現れる可能性があることも明らかにした。これは、単独で防御措置を講じるためにCVE番号を待つのではなく、製品自体の更新を監視する重要性を高めている。