En kritisk Nextcloud-sårbarhet i den innebygde Collabora-serverappen blir utnyttet i angrep. Feilen kan la uvedkommende kjøre operativsystemkommandoer på sårbare servere uten å logge inn. Administratorer bør oppdatere appen umiddelbart og undersøke systemer som kan ha vært eksponert.
Sårbarheten har fått identifikatoren CVE-2026-110447 og en alvorlighetsgrad på 9,2 av 10 etter CVSS 4.0. Den ble offentlig registrert 14. oktober 2026, men administratorer hadde rapportert angrep allerede i september. Collaboras sikkerhetsvarsel beskriver feilen som en kommandoinjeksjon i appens proxy-funksjon.
Hvem er berørt av Nextcloud-sårbarheten?
Problemet gjelder Nextcloud-installasjoner som bruker den valgfrie appen Collabora Online – Built-in CODE Server, med appnavnet richdocumentscode, i versjoner eldre enn 26.4.303. Feilen ligger i proxy.php og kan føre til at en spesiallaget forespørsel får serveren til å kjøre kommandoer med rettighetene til webserverbrukeren.
Det finnes en viktig forutsetning: Den innebygde CODE-serveren må være stoppet. Det kan for eksempel skje under omstart, oppgradering eller etter et krasj. Angrepet krever ifølge adviseringen verken innlogging eller handling fra en bruker, men den aktuelle driftstilstanden må være til stede.
Collabora opplyser at feilen ikke rammer frittstående Collabora Online-servere. Ifølge selskapet er heller ikke Docker- og distribusjonspakkebaserte installasjoner eller Nextcloud All-in-One berørt av denne spesifikke sårbarheten. Det er altså ikke nok å bruke Nextcloud eller Collabora generelt for å være utsatt – det er den innebygde appen og versjonen som er avgjørende.
Angripere skal ha installert webskall
Administratorer har rapportert at angrepene startet minst 10. september, flere uker før den formelle CVE-publiseringen. I en åpen hendelsesrapport i Collaboras GitHub-prosjekt beskriver driftspersonell forespørsler mot proxy.php som ble brukt til å opprette PHP-filer med funksjonalitet for å kjøre kommandoer på serveren.
Slike filer omtales som webskall og kan gi angripere en vedvarende inngang til et kompromittert system. Rapportene beskriver også søk etter passorddatabaser, spor etter passordbehandlere og kryptovaluta-lommebøker. Dette er funn fra administratorrapporter; det er ikke offentlig dokumentert hvor mange Nextcloud-servere som totalt er kompromittert.
BleepingComputer rapporterte 15. oktober at flere administratorer hadde observert angrep. Mediet kunne ikke uavhengig bekrefte alle påstander om at løsepengevirusaktører også utnytter feilen.
Slik bør administratorer håndtere feilen
- Oppdater straks: Oppgrader
richdocumentscodetil versjon 26.4.303 eller nyere, og bruk den nyeste versjonen som er kompatibel med din Nextcloud-installasjon. - Fjern appen hvis den ikke trengs: Collabora sier at det ikke er tilstrekkelig bare å deaktivere appen. Den må oppdateres eller fjernes.
- Kontroller eldre Nextcloud-installasjoner: Installasjoner på Nextcloud 29 eller eldre bør oppgraderes til en støttet versjon eller fjerne appen, ifølge adviseringen.
- Undersøk om serveren allerede er kompromittert: Se gjennom tilgangslogger tilbake til minst 10. september, undersøk uventede PHP-filer i appkatalogen, og bruk Nextclouds integritetskontroll.
- Roter tilgjengelige hemmeligheter ved mistanke om innbrudd: En webshell kan lese data som webserverkontoen har tilgang til. Vurder derfor passord, apptokener og andre hemmeligheter som kan ha vært tilgjengelige fra serveren.
Oppdatering lukker sårbarheten, men fjerner ikke nødvendigvis webskall eller andre spor etter et tidligere innbrudd. Dersom logger eller integritetskontroller viser tegn på kompromittering, bør serveren behandles som et sikkerhetshendelsesforløp og undersøkes grundig før den anses som ren.
Hvorfor kom varselet først nå?
Den offentlige sikkerhetsadviseringen og CVE-registreringen kom 14. oktober, mens den korrigerte appversjonen 26.4.303 ble gjort tilgjengelig i september. BleepingComputer skriver at Collabora viste til forsinkelser i behandlingen av CVE-er, mens Nextcloud uttalte at oppdateringen var tilgjengelig i appbutikken og at selskapet ikke hadde sett tegn til omfattende utnyttelse.
Forskjellen mellom når en feil blir rettet, når angrep blir rapportert og når en formell sikkerhetsadvisering publiseres, gjør det viktig å følge med på oppdateringer for installerte apper – ikke bare vente på at en CVE får stor medieoppmerksomhet.
Kilder
- Collabora: Offisiell sikkerhetsadvisering GHSA-g3vx-3m76-fghh
- NIST National Vulnerability Database: CVE-2026-110447
- Collabora GitHub: Administratorrapport om angrep
- BleepingComputer, 15. oktober 2026: Angrep mot Nextcloud-servere
- Nextcloud Community: Oppfordring til å oppdatere den innebygde CODE-appen
