Nextcloud-Lücke CVE-2026-110447: CISA setzt US-Behörden Frist bis 26. Oktober

Die US-Cybersicherheitsbehörde CISA hat die Schwachstelle CVE-2026-110447 in ihren Katalog aktiv ausgenutzter Sicherheitslücken (Known Exploited Vulnerabilities, KEV) aufgenommen. Der Eintrag erfolgte am 23. Oktober 2026 und erweitert das Register auf 1.756 Einträge.

Betroffen ist die Nextcloud-App richdocumentscode (Collabora Online – Built-in CODE Server) in Ausgaben vor der Version 26.4.303. Für US-Bundesbehörden gilt gemäß den Direktiven BOD 26-04 beziehungsweise BOD 22-01 eine verbindliche Frist zur Behebung bis zum 26. Oktober 2026. Zudem ordnete die Behörde eine verpflichtende forensische Triage an, während ein Einsatz in konkreten Ransomware-Kampagnen zu diesem Zeitpunkt als unbekannt eingestuft wurde.

Am selben Tag nahm die CISA mit CVE-2026-114625 eine weitere kritische Lücke in den Katalog auf. Diese SQL-Injection im On-Premise-Arista-VeloCloud-Orchestrator weist einen CVSS-Wert von 9,9 auf, wurde in den Softwareständen 5.2.3.18, 6.1.3.10 sowie 6.4.2.12 behoben und unterliegt derselben Behebungsfrist.

Technische Hintergründe und betroffene Installationen

Auch deutsche Sicherheitsbehörden schlagen Alarm. Die Cybersicherheitsagentur Baden-Württemberg (CSBW) wies am 23. Oktober 2026 in einer Sicherheitswarnung auf CVE-2026-110447 hin, die unter der Kennung EUVD-2026-100780 mit einem CVSS-Wert von 9,2 geführt wird.

Nach Angaben von Collabora handelt es sich um eine unauthentifizierte Betriebssystem-Befehlsinjektion (CWE-78) über die Datei proxy.php. Im CVSS-4.0-Modell erreicht die Schwachstelle den Wert 9,2 mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N.

In Versionen bis 26.4.302 gelangten eingehende Anfragedaten ohne ausreichende Bereinigung direkt in einen Bash-Befehl. Ein Angriff ist allerdings nur dann möglich, wenn der integrierte CODE-Server gestoppt ist, etwa infolge eines Neustarts, Upgrades oder Absturzes.

Ein reines Deaktivieren der betroffenen App genügt laut Collabora nicht, um Angriffe abzuwehren. Erforderlich ist eine Aktualisierung auf Version 26.4.303 oder höher beziehungsweise die vollständige Deinstallation des Moduls. Die behobenen Softwareversionen setzen Nextcloud 30 oder neuer voraus.

Angesichts der zunehmenden Cyberbedrohungen und neuen gesetzlichen Anforderungen müssen Unternehmen ihre IT-Infrastruktur heute proaktiver denn je schützen. Dieses kostenlose E-Book enthüllt, wie Sie bestehende Sicherheitslücken schließen und Ihre Firma ohne teure Investitionen absichern. IT-Sicherheit stärken und Unternehmen schützen

Ältere Installationen unter Nextcloud 29 erhalten weiterhin eine verwundbare Fassung. Im App Store steht inzwischen die Version 26.4.502 bereit, die am 23. Oktober 2026 erschien, nachdem eine Zwischenversion vom 24. September 2026 (26.4.402) Startprobleme aufgewiesen hatte.

Eigenständige Collabora-Server, Container-Installationen unter Docker, native Linux-Pakete (RPM/DEB), Nextcloud-All-in-One-Instanzen sowie gehostete Collabora-Dienste sind von dem Problem nicht betroffen. Der ältere Fix gegen CVE-2025-66208 bietet gegenüber dem aktuellen Angriffspfad keinen Schutz.

Welle von Web-Shells und Angriffsspuren

Erste Angriffe wurden bereits am 10. und 11. September 2026 verzeichnet, ausgehend von der IP-Adresse 139.28.18.122 gegen den Pfad /apps/richdocumentscode/proxy.php?status.

Am 14. September 2026 folgten weitere Anfragen von der Adresse 89.38.98.50. Zwar veröffentlichte Collabora die korrigierte Version 26.4.303 bereits am 11. September 2026, jedoch zunächst ohne Sicherheitshinweis. Das offizielle Advisory und die CVE-Zuweisung folgten erst am 14. Oktober 2026. Collabora begründete den zeitlichen Verzug unter anderem mit einem Bearbeitungsstau bei GitHub, während Nextcloud auf das Update im App Store verwies und angab, zunächst keine breite Ausnutzung beobachtet zu haben.

Da immer mehr Firmen ins Visier von Cyberkriminellen geraten, wird eine fundierte Risikoanalyse und Prävention zur unternehmerischen Pflicht. Experten erklären in diesem kostenlosen Report, welche Bedrohungen aktuell auf Sie zukommen und wie Sie sich wirksam dagegen absichern. Kostenloses E-Book zur Cyber Security herunterladen

Bereits am 3. Oktober 2026 hatte ein Anwender im Nextcloud-Forum vor laufender Ausnutzung gewarnt. Das italienische CSIRT ACN dokumentierte am 16. Oktober 2026 die Kompromittierung eines Nextcloud-Servers in Italien, auf dem drei Web-Shells platziert worden waren.

Dort war eine Konfigurationsdatei mit Zugangsdaten und Anwendungsgeheimnissen entwendet worden, Hinweise auf direkten Dokumentenzugriff oder laterale Bewegungen gab es laut dem Bericht nicht. Am 20. Oktober 2026 berichtete das polnische CERT Polska über die aktive Ausnutzung zur Serverübernahme und für Ransomware-Angriffe.

Nach weiteren Berichten nutzen Akteure die Lücke, um Systeme mit Hintertüren zu versehen und nach Anmeldedaten, Artefakten von Passwort-Managern sowie Krypto-Wallets zu suchen, wenngleich Ransomware-Vorfälle bislang nicht unabhängig bestätigt wurden.

Maßnahmen für Administratoren

Sicherheitsexperten raten Betreibern von Nextcloud-Servern zu einer eingehenden forensischen Untersuchung. Bei den registrierten Vorfällen legten Angreifer einzeilige PHP-Webshells im Verzeichnis apps/richdocumentscode/ ab, darunter Dateien mit Mustern wie shx*.php sowie den Namen Nx_33143.php. Administratoren sollten eine Integritätsprüfung des Verzeichnisses durchführen und Zugriffs-Logs mindestens bis zum 10. September 2026 auf verdächtige Aufrufe der proxy.php überprüfen. Als Indikatoren für Angriffsversuche gelten Zeichenketten wie %2e%2e, %24%28 oder ${IFS}, ausgehende Verbindungen zu externen Diensten wie webhook.site sowie fehlgeschlagene Sudo-Aufrufe des Webserver-Benutzers. Liegt eine Kompromittierung vor, sollten hinterlegte Zugangsdaten für Datenbanken und Mailserver umgehend als kompromittiert eingestuft und ausgetauscht werden.