Collabora-CODE-Lücke: Hintertüren auf Nextcloud-Servern
Angreifer nutzen seit etwa einem Monat eine kritische Schwachstelle in einer Collabora-App für Nextcloud aus, über die sich Befehle ausführen lassen. Eine CVE-Kennung hat die Lücke erst diese Woche bekommen.
Die Schwachstelle wird als CVE-2026-110447 geführt. Sie betrifft die App Collabora Online - Built-in CODE Server, intern als richdocumentscode bezeichnet. Nextcloud-Administratoren setzen diese optionale App ein, um einen mitgelieferten Collabora-Dokumentenserver direkt in ihrer Nextcloud-Instanz zu betreiben. So müssen sie keinen eigenen Server aufsetzen.
Berichten mehrerer Administratoren zufolge begannen die Angriffe Mitte September. Das war rund vier Wochen, bevor das Sicherheitsbulletin, der GitHub-Sicherheitshinweis und der CVE-Eintrag veröffentlicht wurden.