NextcloudのCollabora連携アプリに深刻な脆弱性、悪用確認
Nextcloud向けCollabora Online内蔵CODEサーバーアプリの脆弱性CVE-2026-110447が悪用され、26.4.303へのアップグレードが推奨されている。
脅威アクターが、Nextcloud向けの「Collabora Online - Built-in CODE Server」アプリ（richdocumentscode）に存在する重大なコマンド実行脆弱性CVE-2026-110447を悪用している。セキュリティ情報サイトのbleepingcomputer.comが伝えた。
脆弱性は26.4.303より前のrichdocumentscodeに影響し、同梱のCollaboraサーバーを起動する仕組みに起因する。攻撃はアプリのproxy.phpエンドポイントへ悪意あるリクエストを送信し、OSコマンドインジェクションを引き起こす手法で行われる。悪用には内蔵CODEサーバーが停止している必要があり、認証やユーザーの操作は不要とされる。
修正は9月9日にコミットされ、バージョン26.4.303は9月11日に公開された。アドバイザリとCVEは10月14日に公表された。システム管理者にはバージョン26.4.303以降へのアップグレード、または該当サーバーアプリの削除が推奨されている。
報告と公表の経緯
Nextcloudは、Collaboraが9月中旬に脆弱性を報告し、アップデートがアプリストアを通じて利用可能になったと述べた。Collaboraは、告知の遅れの主な原因をGitHubのCVE処理の滞留に帰している。
攻撃は9月中旬、正式なセキュリティ速報やGitHubアドバイザリ、CVE公表のおよそ1カ月前に始まった。9月10日にはシステム管理者が複数のエンドポイントへの攻撃を報告し、10月3日には管理者に直ちに更新するよう促すコミュニティの警告が公表された。Second Securityによると、8月時点で修正公開からCVE公表までの中央値は39日で、1月の5.1日から増加していた。
よくある質問
影響を受けるバージョンはどれですか。
26.4.303より前のrichdocumentscodeが影響を受けます。
どうすれば対策できますか。
システム管理者はバージョン26.4.303以降へのアップグレード、または該当サーバーアプリの削除が推奨されています。
悪用に認証は必要ですか。
認証やユーザーの操作は不要ですが、内蔵CODEサーバーが停止している必要があります。