攻击者正利用 Nextcloud 平台中的 Collabora Online - Built-in CODE Server 应用（称为 richdocumentscode）中的严重命令执行漏洞。该漏洞的编号为 CVE-2026-110447。管理员报告称，攻击活动始于 9 月中旬，即官方安全公告和 CVE 编号发布前约一个月。
发生了什么？
该漏洞影响低于 26.4.303 的 richdocumentscode 版本，存在于 Nextcloud 应用中运行内置 Collabora 服务器的机制内。攻击者可以向 proxy.php 端点发送特制请求，从而注入并执行操作系统命令。
利用该漏洞无需身份验证或用户交互，但有一个重要条件：内置 CODE 服务器必须处于停止状态，这可能发生在服务器重启、升级或发生故障之后。管理员报告称，自 9 月 10 日以来，多处端点受到恶意活动影响。
受影响范围与修复措施
影响仅限于可选的内置 CODE Server 应用。根据 Collabora 的说法，独立的 Collabora Online 服务器、通过 Docker 和 RPM/DEB 安装的版本，以及 Nextcloud All-in-One 发行版均不受影响。
据管理员反馈，攻击者植入了用 PHP 编写的后门，并利用这些后门搜索密码数据库、与密码管理器相关的文件以及加密货币钱包。一些用户表示，勒索软件运营者也在利用该漏洞，但 BleepingComputer 无法独立确认这一点。
建议更新至 26.4.303 或更高版本；如果不再需要该应用，则应将其移除。供应商警告称，仅禁用该应用并不能构成充分的修复措施。一个社区组织也于 10 月 3 日发布警告，呼吁立即更新，因为攻击仍在持续。
为什么这条消息很重要？
实际风险在于修复可用与正式披露之间存在时间差。修复程序于 9 月 9 日提交至代码库，修复版本于 9 月 11 日发布，而公告和 CVE 编号直到 10 月 14 日才发布，间隔超过四周。在此期间，管理员更难确定问题所在，并将其与正在进行的攻击活动联系起来。
Nextcloud 表示，Collabora 于 9 月中旬向其报告了该漏洞，更新已通过应用商店提供。Nextcloud 解释称，推迟披露是为了给用户留出更新时间，同时当时尚未发现大规模利用。Collabora 则将延迟主要归因于 GitHub 上 CVE 请求处理积压，原因是由人工智能工具支持的漏洞报告数量增加。
来源引用网络安全公司 Second Security 的一项研究称，8 月份公开修复与 CVE 编号发布之间的中位时间差为 39 天，而 1 月份为 5.1 天。研究还发现，公开利用代码可能在修复发布后数小时内出现，并且早于 CVE 发布数日，这进一步凸显了监控产品自身更新的重要性，而不应仅等待 CVE 编号来采取防御措施。