Nextcloud-Lücke: Abschalten der Office-App schützt nicht

Nextcloud ist im Mittelstand beliebt, gerade weil sich damit Dateien und Dokumente auf eigenen Servern statt in einer US-Cloud verwalten lassen. Genau diese Installationen sind jetzt das Ziel von Angreifern: Eine kritische Lücke in der eingebauten Office-App erlaubt es, ServerHostingDer Speicherplatz auf einem Server, auf dem Ihre Website läuft.Im Glossar ansehen → ohne Anmeldung zu übernehmen. Am 23. Oktober 2026 hat die US-Behörde CISA die Lücke in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen, heise berichtet am 26. Oktober darüber. Ausgenutzt wird sie allerdings schon seit rund sechs Wochen.

Was hinter CVE-2026-110447 steckt

Betroffen ist die Nextcloud-App „richdocumentscode“, der sogenannte Built-in CODE Server. Mit ihm bekommt Nextcloud eine Online-Office-Funktion auf Basis von Collabora, ohne dass man einen eigenen Office-Server aufsetzen muss. Für kleinere Installationen ist das der bequeme Weg, entsprechend verbreitet ist er.

Die Lücke CVE-2026-110447 steckt im Mechanismus, mit dem die App den mitgelieferten Office-Server startet. Über eine präparierte Anfrage an die Datei proxy.php lassen sich Betriebssystembefehle einschleusen, ohne Anmeldung und ohne Zutun eines Nutzers. Die Befehle laufen mit den Rechten des Webservers. Die Bewertung liegt bei 9,2 von 10 Punkten nach CVSS 4.0, also kritisch.

Einen Haken hat der Angriff: Er funktioniert nur, solange der eingebaute Office-Server gerade nicht läuft, etwa nach einem Neustart, einem Upgrade oder einem Absturz. Das klingt nach einer Einschränkung, ist im Alltag aber eher die Regel als die Ausnahme.

Angriffe laufen seit September

Laut BleepingComputer begannen die Angriffe um den 10. September herum. Die Angreifer legten PHP-Webshells ab, also versteckte Hintertüren, und durchsuchten die Server nach Passwortdatenbanken, Spuren von Passwortmanagern und Krypto-Wallets. Einige Betroffene berichteten auch von Ransomware, das konnte BleepingComputer allerdings nicht bestätigen.

Pikant ist der zeitliche Ablauf: Der Fix stand bereits am 11. September mit Version 26.4.303 bereit. Sicherheitshinweis und CVE-Nummer folgten aber erst am 14. Oktober, mehr als vier Wochen später. Wer seine Apps nicht regelmäßig aktualisiert, hatte also lange keinen Anlass, gerade diese App anzufassen. Nextcloud begründete die Verzögerung laut BleepingComputer damit, man habe den Nutzern Zeit zum Aktualisieren geben wollen und keine breite Ausnutzung beobachtet. Collabora verwies vor allem auf einen Rückstau bei der CVE-Vergabe über GitHub, den das Unternehmen mit der wachsenden Zahl KI-gestützter Sicherheitsmeldungen erklärt.

Das passt zu einem größeren Trend: Laut einer von BleepingComputer zitierten Auswertung von Second Security wuchs der mittlere Abstand zwischen öffentlichem Fix und CVE-Veröffentlichung von 5,1 Tagen im Januar auf 39 Tage im August. Exploit-Code tauchte demnach oft schon Stunden nach einem Fix auf. Wie stark KIKünstliche Intelligenz (KI)Software, die Aufgaben löst, die sonst menschliche Intelligenz erfordern.Im Glossar ansehen → die Schwachstellensuche beschleunigt, haben wir auch beim Thema Bank of America und KI-gefundene Lücken beschrieben.

Deaktivieren reicht nicht

Der wichtigste Punkt für Administratoren: Die App nur zu deaktivieren, schützt nicht. Collabora warnt ausdrücklich davor. Abhilfe schafft nur das Update auf Version 26.4.303 oder neuer, oder das vollständige Entfernen der App, wenn sie nicht gebraucht wird. heise fasst die Lage so zusammen:

„Das Deaktivieren der App in Nextcloud schützt nicht davor“

Ein weiterer Stolperstein: Die korrigierte App-Version setzt laut heise Nextcloud 30 oder neuer voraus. Wer noch Nextcloud 29 oder älter betreibt, die ohnehin keine Updates mehr bekommen, muss zuerst Nextcloud selbst aktualisieren oder die App entfernen.

Nicht betroffen sind laut Collabora eigenständige Collabora-Online-Server sowie Installationen per Docker, RPM- oder DEB-Paket und Nextcloud All-in-One. Es geht ausschließlich um die optionale App mit dem eingebauten Office-Server.

Was das für Ihr Unternehmen heißt

• Bestand prüfen: Klären Sie, ob auf Ihrer Nextcloud die App „Collabora Online - Built-in CODE Server“ (richdocumentscode) installiert ist, auch wenn sie deaktiviert ist.
• Sofort aktualisieren oder entfernen: Version 26.4.303 oder neuer einspielen. Wird das eingebaute Office nicht gebraucht, die App deinstallieren.
• Alte Nextcloud-Versionen ablösen: Läuft noch Nextcloud 29 oder älter, ist ein Upgrade ohnehin überfällig, denn sonst gibt es keinen Fix.
• Nach Einbruchsspuren suchen: Weil die Lücke schon seit September ausgenutzt wird, reicht das Update allein nicht. Prüfen Sie das Webverzeichnis auf unbekannte PHP-Dateien und die Protokolle auf auffällige Aufrufe von proxy.php seit dem 11. September.
• Zugangsdaten tauschen: Findet sich eine Webshell, sollten Sie Passwörter, Schlüssel und Tokens, die auf dem Server lagen, als kompromittiert betrachten.
• App-Updates einplanen: Nextcloud-Apps werden getrennt vom Kern aktualisiert. Wer nur den Kern pflegt, übersieht solche Fixes. Ähnliches galt zuletzt für die PHP2Shell-Lücken und die Brotli-Lücke.
• Nicht auf CVE-Meldungen warten: Der Fall zeigt, dass Fixes Wochen vor der offiziellen Warnung erscheinen können. Regelmäßige Updates sind der bessere Schutz als das Abarbeiten von Sicherheitsmeldungen.

Fazit

Nextcloud ist eine gute Wahl für Unternehmen, die ihre Daten selbst in der Hand behalten wollen. Dazu gehört aber auch, Updates und Apps konsequent zu pflegen. Wer die eingebaute Office-App nutzt oder einmal installiert hat, sollte heute noch handeln und anschließend nach Spuren suchen. Wenn Sie dabei Unterstützung brauchen oder Ihren Nextcloud-Betrieb grundsätzlich absichern möchten, sprechen Sie mich gern an.