Collabora Onlineに深刻な脆弱性、攻撃者がNextcloudサーバーでコマンドを実行可能に

Nextcloud向けのCollabora Online内蔵CODEサーバーアプリに、認証不要の深刻なOSコマンドインジェクションの脆弱性が見つかりました。リモートの攻撃者がWebサーバーユーザーの権限で任意のコマンドを実行できます。アドバイザリーはこの脆弱性をCVSS v4で9.2と評価しています。

Collabora Onlineの脆弱性

Collabora OnlineがGitHubで公開したセキュリティアドバイザリーによると、この脆弱性は CVE-2026-110447 として追跡されており、CWE-78（OSコマンドインジェクション）に分類されています。

CyberSecurity Tools

Collabora Onlineのメンテナーは2026年10月14日、アドバイザリー GHSA-g3vx-3m76-fghh を公開しました。問題があるのは、Nextcloud向けの「Collabora Online – Built-in CODE Server」として配布されている richdocumentscode パッケージの proxy.php です。

細工したリクエストを送信すると、サーバーがWebサーバーユーザーの権限でオペレーティングシステムのコマンドを実行します。アドバイザリーは、報告者を「wwwshellcodeit」としています。github

CVSS v4のベクターは CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N です。

攻撃者に認証情報やユーザーの操作は必要なく、ネットワーク経由で攻撃が成立します。「攻撃要件: あり」という評価は前提条件を反映したものです。リクエストが届く時点で、内蔵CODEサーバーが起動していない必要があります。github

攻撃が成立するのは、内蔵CODEサーバーが停止している間だけです。コンテナーの再起動、アップグレード、クラッシュの後などにこの状態になります。攻撃者はこうした状態を意図的に引き起こすか、発生を待ったうえで、プロキシのエンドポイントに悪意あるリクエストを送信する可能性があります。

Webサーバーユーザーの権限でコマンドを実行されると、Nextcloudの設定ファイル、データベースの認証情報、保存されたユーザーデータが漏えいするおそれがあります。ファイルの改ざんや、ホストを足がかりにした横展開（ラテラルムーブメント）も可能になります。

なお、アドバイザリーが明記しているのは、コマンドがWebサーバーユーザーの権限で実行される点だけです。ここで挙げた具体的な影響は、この水準の権限で一般的に起こり得るもので、アドバイザリーに記載された内容ではありません。

影響を受けるのは、26.4.303より前のすべてのrichdocumentscodeです。修正版は26.4.303です。スタンドアロン型のCollabora Onlineサーバーは影響を受けません。アプリを無効化しても、サーバーは保護されません。

管理者は26.4.303以降にアップグレードするか、アプリを完全に削除する必要があります。

メンテナーはさらに、サポートが終了したNextcloud 29以前を使っているユーザーに対し、Nextcloudをアップグレードするか、アプリを削除するよう求めています。今回の問題は CVE-2025-66208 とは別のコードパスで発生しており、以前の問題に対する修正では今回の脆弱性を防げないと強調しています。

推奨される緩和策は次のとおりです。Collabora Online – Built-in CODE Server を26.4.303以降に更新します。アプリが不要なら削除します。無効化だけでは不十分です。サポートが終了したNextcloud 29以前からは移行します。影響を受けないスタンドアロン型のCollabora Onlineサーバーへの切り替えも検討してください。

セキュリティ担当者は、Webサーバーのログも確認してください。特に再起動やクラッシュの前後に、proxy.php への不審なリクエストがないかを調べます。あわせて、Webサーバーユーザーが生成した想定外の子プロセスがないかも探します。

アドバイザリーには、悪用が公に報告された事例は記載されていません。ただ、攻撃の複雑さが低く認証も不要なため、管理者は速やかにパッチを適用すべきです。