Nextcloudの文書編集アプリに脆弱性、悪用を確認

Nextcloud 用の Collabora Online 内蔵 CODE サーバーアプリに、ログインなしでコマンドを実行される脆弱性が見つかりました。9月から悪用されています。26.4.303 以降へ更新するか、削除してください。

脆弱性の概要

緊急CVSS9.2

影響を受ける製品
製品	対象の版	修正版
Collabora Online - Built-in CODE Server（richdocumentscode）	26.4.303 より前	26.4.303

やること

Nextcloud は、社内でファイルを共有するために自社で立てて使うソフトです。Nextcloud 上で文書を編集するため、Collabora Online の内蔵 CODE サーバーアプリ（richdocumentscode）を入れている場合は、次のどちらかを行ってください。

開発元によると、アプリを無効にするだけでは足りません。また、サポートが終わった Nextcloud 29 以前を使っている場合は、Nextcloud 本体を更新するか、アプリを削除する必要があります。

Collabora は10月14日に、CVE-2026-110447 を公表しました。アプリに含まれる proxy.php の欠陥で、細工した要求を送ると、Web サーバーの権限で OS のコマンドを実行されるおそれがあります。ログインは必要ありません。CVSS は v4.0 で 9.2 です。

攻撃が成り立つのは、内蔵の CODE サーバーが止まっている間です。たとえば、再起動や更新の直後、異常終了したときが当たります。

CVE の記載によると、この欠陥は2026年9月と10月に悪用されました。米国の CISA も10月23日に、悪用が確認された脆弱性の一覧に載せています。以前に出た CVE-2025-66208 とは別の欠陥で、そちらの修正では防げません。

Nextcloud 用のアプリ richdocumentscode の 26.4.303 より前が対象です。Collabora Online を単独のサーバーとして動かしている場合は、影響を受けません。

自社で確かめること

アプリが入っているか確かめるNextcloud の管理画面のアプリ一覧で、Collabora Online - Built-in CODE Server（richdocumentscode）が入っているかを確認してください。

無効にしただけで済ませない開発元は、アプリを無効にするだけでは足りないとしています。26.4.303 以降へ更新するか、アプリを削除してください。

見覚えのないファイルがないか見るすでに攻撃を受けている場合に備え、アプリのフォルダーに見覚えのない PHP ファイルがないか、proxy.php への不審なアクセスがないかを確認してください。

自社で確かめるのが難しい場合はCyberScope のセキュリティ診断（3万円から）