Nextcloud mit eingebautem Office: ausgenutzte Lücke im Built-in CODE Server

Ein Einbruch über das eingebaute Office

Am Abend des 10. September 2026 verzeichnete ein Betreiber mehrerer Nextcloud-Server einen Zugriff auf die App „Collabora Online Built-in CODE Server“. Am nächsten Tag meldete er auf GitHub, im öffentlichen Fehlerverzeichnis der App, erfolgreiche Einbrüche in seine Systeme. Die Angreifer hatten im Ordner der App sogenannte Web-Shells abgelegt. Das sind kleine Programme, über die sich ein Server aus der Ferne steuern lässt. Installiert war Version 26.4.302.

Nextcloud ist eine Software für Dateiablage und Zusammenarbeit, die man selbst betreiben kann, auf einem eigenen Server oder bei einem Hoster. Die App „Collabora Online Built-in CODE Server“ (technischer Name: richdocumentscode) bringt einen eingebauten Office-Server mit, damit sich Dokumente direkt in Nextcloud bearbeiten lassen. Laut ihrer Beschreibung im Nextcloud App Store ist sie leicht zu installieren und für den persönlichen Gebrauch oder kleine Teams gedacht. Sie zielt also auf genau die Umgebungen, um die es in diesem Blog meist geht.

Am 14. Oktober 2026 wurden der CVE-Datensatz CVE-2026-110447 und ein Sicherheitshinweis des Herstellers Collabora veröffentlicht. CVE-Kennungen sind öffentliche Nummern, unter denen Sicherheitslücken einheitlich geführt werden. Laut CVE-Datensatz wurde die Lücke im September und Oktober 2026 ausgenutzt; ein Betreiber dokumentierte den ersten Angriff auf seine Server am 10. September 2026. Dieser Beitrag gibt den Stand vom 16. Oktober 2026 wieder.

Was zwischen Juni und Oktober 2026 geschah

Die Versionsnotiz zu 26.4.303 nennt nur die Version des enthaltenen AppImage, eines Paketformats für Linux-Programme. Ein Nutzer merkte im selben GitHub-Eintrag an, er habe darin keinen Hinweis auf Sicherheitskorrekturen gefunden. Zwischen der Korrektur am 11. September 2026 und der Herstellerwarnung von Collabora am 14. Oktober 2026 lagen 33 Tage.

Die Warnung im Nextcloud-Forum vom 3. Oktober 2026 stammt von einem Nutzer, der dort nicht als Mitarbeiter gekennzeichnet ist. Am 14. Oktober 2026 wies er im selben Forumsthema auf den veröffentlichten CVE-Datensatz hin. Der Hinweis des Herstellers kommt von Collabora und steht auf GitHub unter der Kennung GHSA-g3vx-3m76-fghh.

Wann der Angriff möglich ist

Die Lücke steckt im Proxy der App, also in dem Teil, der Anfragen an den eingebauten Office-Server weiterreicht. Fachlich ist es eine Befehlseinschleusung: Eine präparierte Anfrage bringt den Server dazu, einen Befehl des Betriebssystems auszuführen. Laut Collabora läuft dieser Befehl mit den Rechten des Benutzerkontos, unter dem der Webserver arbeitet. Eine Anmeldung braucht der Angreifer dafür nicht.

Es gibt aber eine Bedingung. Der Angriff funktioniert nur, solange der eingebaute Office-Server nicht läuft. Collabora nennt drei typische Momente: den Neustart des Containers, ein Update und einen Absturz. Ein Container ist ein abgeschlossen verpacktes Programm samt allem, was es zum Laufen braucht. Der CVE-Datensatz nennt als Beispiel die Zeit kurz nach einem Neustart.

Das klingt nach einem schmalen Fenster. Neustarts und Updates gehören aber zum gewöhnlichen Betrieb eines Servers, und genau dabei öffnet es sich.

Zur Schwere nennt der CVE-Datensatz nach dem Bewertungssystem CVSS 4.0 den Wert 9,2 und die Stufe „Critical“. CVSS ist eine Skala von 0 bis 10, mit der Sicherheitslücken nach ihrer Schwere eingeordnet werden. In die Bewertung geht ein, dass der Angriff über das Netz läuft und weder Rechte noch ein Zutun der Nutzer erfordert.

Welche Installationen betroffen sind

Betroffen ist laut CVE-Datensatz und Collabora die App „Collabora Online Built-in CODE Server“ in allen Versionen vor 26.4.303. Behoben ist die Lücke in Version 26.4.303.

Eigenständige Collabora-Server sind laut Collabora nicht betroffen. Gemeint sind Office-Server, die getrennt von Nextcloud laufen. Die Lücke steckt nur in der eingebauten Variante.

Laut einem Beitrag im Nextcloud-Forum vom 3. Oktober 2026 sind außerdem diese Installationen nicht betroffen:

• Nextcloud mit der App richdocuments, aber ohne richdocumentscode
• Collabora als Docker-Container oder als Paket der Linux-Distribution
• gehostetes Collabora; als Beispiele nennt der Beitrag IONOS, Hostinger und Cloud42

Das sind Angaben eines Forennutzers, keine Aussagen von Collabora oder von Ihrem Hoster. Ob bei Ihnen der eingebaute Server läuft, hängt davon ab, wie Nextcloud eingerichtet wurde. Prüfen kann das nur, wer Ihre Installation betreut.

Zielstand: Version 26.4.303 oder neuer

In einem Punkt ist Collabora unmissverständlich: Die App zu deaktivieren reicht nicht. Sie muss auf 26.4.303 oder neuer aktualisiert oder entfernt werden. Eine abgeschaltete, aber installierte App bleibt also ein Thema.

Stand 16. Oktober 2026 bietet der App Store für Nextcloud 30 bis 35 die Version 26.4.402 an.

Nextcloud 29 und älter: keine korrigierte App im App Store (Stand 16. Oktober 2026)

Für Nextcloud 25 bis 29 bietet der App Store mit Stand 16. Oktober 2026 nur 26.4.104 an, eine Version vor der Korrektur. Für Nextcloud 19 bis 24 führt er Version 23.5.5. Der Grund steht in den Versionshinweisen: Schon 26.4.302 vom 31. August 2026 verlangt Nextcloud 30 oder neuer.

Collabora bezeichnet Nextcloud 29 und älter als Versionen am Ende ihrer Pflege (englisch „end of life“, kurz EOL) und rät, dort Nextcloud zu aktualisieren oder die App zu entfernen. Auch hier gilt: Deaktivieren reicht nicht. Wer Nextcloud 29 oder älter betreibt, kann die Lücke also nicht mit einem App-Update schließen. Es bleiben ein Update von Nextcloud selbst oder das Entfernen der App.

Nach dem Update: Spuren und Daten

Ein Update schließt die Lücke. Ob dabei auch Dateien verschwinden, die Angreifer vorher abgelegt haben, sagen die Quellen nicht. Im GitHub-Eintrag rät ein Kommentator ausdrücklich, nach dem Update auch zurückgebliebene PHP-Dateien zu entfernen.

Was auf dem Spiel stehen kann, zeigt der Bericht eines Betreibers im selben Eintrag. Auf einem seiner Systeme suchte der Angreifer nach Passwort-Tresoren und Krypto-Wallets, also nach Dateien mit gespeicherten Zugangsdaten und digitalem Geld. Ob Daten abgeflossen sind, war in den protokollierten Anfragen nicht zu sehen. Der Betreiber kommt trotzdem zu dem Schluss, dass alle Daten und Geheimnisse, auf die das Konto des Webservers zugreifen kann, als möglicherweise betroffen zu behandeln sind.

Was Sie Ihren Dienstleister oder Hoster fragen

Oft hat jemand anderes Nextcloud eingerichtet und pflegt es. Diese Fragen helfen beim Gespräch:

1. Läuft bei uns Nextcloud, und ist die App „Collabora Online Built-in CODE Server“ installiert, auch wenn sie deaktiviert ist? Oder nutzen wir einen eigenständigen Collabora-Server oder ein Office beim Hoster?
2. Welche Version der App ist installiert: 26.4.303 oder neuer?
3. Welche Nextcloud-Version läuft? Falls es 29 oder älter ist: Wird Nextcloud aktualisiert oder die App entfernt, und bis wann?
4. Wurde der Ordner der App auf unerwartete Programmdateien (PHP-Dateien) geprüft?
5. Wurden die Zugriffsprotokolle des Webservers ab dem 10. September 2026 durchgesehen?
6. Auf welche Daten und Zugangsdaten hat das Konto des Webservers Zugriff, und sollten dort gespeicherte Passwörter oder Schlüssel ausgetauscht werden?
7. Falls es Spuren eines Einbruchs gibt: Muss der Vorfall der Datenschutzaufsicht gemeldet werden? Das klären Sie mit Ihrer Datenschutzberatung.

Was offen ist

• Wie verbreitet die Angriffe sind. Wie viele Server angegriffen wurden, geht aus den Quellen nicht hervor.
• Ein Widerspruch im CVE-Datensatz. Die Beschreibung nennt die Ausnutzung im September und Oktober 2026. Im selben Datensatz führt die Zusatzbewertung der US-Behörde für Cybersicherheit CISA vom 14. Oktober 2026 dagegen „Exploitation: none“, also keine bekannte Ausnutzung. Der Bericht des Betreibers auf GitHub beschreibt erfolgreiche Angriffe. Auflösen können wir den Widerspruch nicht.
• Warum die Versionsnotiz schweigt. Weshalb 26.4.303 ohne Sicherheitshinweis erschien, erklären die Quellen nicht.
• Ob für Nextcloud 25 bis 29 noch eine korrigierte App erscheint. Mit Stand 16. Oktober 2026 endet das Angebot dort bei 26.4.104.
• Ob Daten abgeflossen sind. Im geschilderten Fall war das in den Anfragen nicht zu sehen. Für andere Installationen sagt das nichts.
• Die Entlastung gehosteter Dienste. Dass gehostetes Collabora bei den genannten Anbietern nicht betroffen ist, steht nur im Forumsbeitrag. Collabora selbst spricht allgemein von eigenständigen Servern.

Wer pflegt Ihre Nextcloud?

Eine selbst betriebene Nextcloud besteht aus mehr als Nextcloud. Jede installierte App ist eigene Software mit eigenen Updates. Der Fall zeigt außerdem, dass eine Korrektur still kommen kann: Bis zur Warnung von Collabora vergingen 33 Tage. Klären Sie mit Ihrem Dienstleister oder Hoster, wer die Nextcloud samt Apps aktualisiert und woran Sie erkennen, dass es geschehen ist.

Dieselbe Frage stellt sich bei anderen selbst betriebenen Webanwendungen, etwa beim Ticketsystem Zammad (siehe unseren Beitrag zu den Zammad-Lücken). Wie wir in unserer Betreuung Betriebssysteme und Software aktuell halten, beschreibt die Seite Managed Services unter „Patch Management“.