NextcloudにビルトインされているCollabora Online CODE Serverアプリの重大な脆弱性を、ハッカーが悪用しています。認証なしでOSコマンドを実行されるおそれがあります。
CVE-2026-110447として追跡されているこの脆弱性は、26.4.303より前のrichdocumentscodeに影響します。2026年9月から10月にかけて、実際の攻撃で悪用されました。スタンドアロンのCollabora Onlineサーバーは影響を受けません。
問題の本質は、proxy.phpに存在するOSコマンドインジェクションの脆弱性で、CWE-78に分類されています。GitHubのアドバイザリデータベースは、深刻度を「Critical」、CVSSスコアを9.2としています。
攻撃に特権やユーザー操作は不要です。ただし、特定の実行時条件を満たす必要があります。悪意あるリクエストが脆弱なコンポーネントに届いた時点で、ビルトインのCODEサーバーが稼働していない状態でなければなりません。
メンテナーのアドバイザリによると、コンテナーの再起動、アップグレード、クラッシュなどの際に、脆弱な環境が攻撃にさらされる可能性があります。こうした空白の時間帯に細工されたリクエストを送られると、Webサーバーアカウントの権限でコマンドを実行されてしまいます。
これだけでroot権限を奪われるわけではありません。ただし、そのアカウントがアクセスできるファイルやアプリケーションのシークレットなどのリソースが危険にさらされます。
この脆弱性はCVE-2025-66208とは別のものです。以前の問題の修正では、今回の攻撃を防げません。
そのため管理者は、以前の脆弱性に対処済みだからといって、今回公表されたコマンドインジェクションからも守られていると考えてはいけません。
影響を受けるのは、あくまでNextcloudに組み込まれたCODE Serverアプリケーションです。Collabora Onlineのすべての環境が対象ではありません。
9月11日にGitHubで公開されたIssueでは、richdocumentscode 26.4.302を実行する複数のNextcloudサーバーが攻撃を受け、侵害されたと報告されました。
報告者は、/apps/richdocumentscode/proxy.php?statusを狙ったリクエストが記録されたアクセスログを提示しました。攻撃者がアプリケーションのディレクトリ内にPHPウェブシェルを作成したとも報告しています。
別の管理者も独自に、Nextcloudの整合性チェックが失敗した後、不審なPHPファイルを発見したと報告しました。確認されたリクエストには、エンコードされたパストラバーサル、シェルのコマンド置換、空白による難読化、Base64でエンコードされたシェルの内容が組み合わされていました。
作成されたウェブシェルは、HTTPパラメーター経由でコマンドを受け付けます。そのため攻撃者は、最初の侵入後も引き続きコマンドを実行できました。報告されたファイル名には、shxa35d0.phpのほか、shxで始まる命名パターンのファイルがありました。
ある侵害された環境では、その後のコマンドでパスワードデータベースや暗号資産ウォレット、パスワードマネージャー関連のファイルが探索されていました。対象にはKeePassのデータベースやwallet.datファイルが含まれます。
報告者が確認したリクエストの中に、アーカイブ化やデータ送出を明確に示すコマンドは見つかっていません。したがって、確認できたのはコマンドの実行と機密ファイルの探索までで、データが盗まれたかどうかは確認されていません。
リリース26.4.303でこの脆弱性は修正されました。メンテナーのアドバイザリは、アプリを無効化するだけでは不十分だと警告しています。管理者は修正版へアップグレードするか、アプリを削除する必要があります。サポート終了となったNextcloudのバージョン29以前を使用している組織は、Nextcloudをアップグレードするか、該当アプリケーションを削除してください。
パッチを適用しても、攻撃時にすでに設置されたウェブシェルは削除されません。プロジェクトのメンテナーは、アップグレードに加えて、残存するshx接頭辞のPHPファイルを削除するよう管理者に明確に求めています。
防御側は、アプリケーションのディレクトリとアクセスログを調べ、見覚えのないPHPファイルや不審なproxy.phpへのリクエスト、その後のコマンド実行の痕跡がないか確認する必要があります。
すでに侵害された環境では、修復と並行して調査も必要です。インジェクションの欠陥をふさいでも、攻撃者が作り出したアクセス手段までは消えないためです。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。自社チームでの活用を検討する
翻訳元: https://cyberpress.org/critical-nextcloud-collabora-flaw/
