対象：Nextcloudを自社のサーバーやVPSで運用していて、文書の共同編集にアプリ「Collabora Online - Built-in CODE Server」（アプリID：richdocumentscode。Nextcloudの中でオフィス文書の編集サーバーを動かすアプリ）を入れている管理者。本記事は開発元のセキュリティ勧告とブログ、米CISAの公開情報にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月25日8時（日本時間）時点まだ分かっていないこと
- 被害を受けたサーバーや組織の数
- 攻撃した者
- 開発元による侵害の確かめ方（勧告に記載がない）
- ARM64向けの同名アプリ（richdocumentscode_arm64）の扱い
開発元は10月14日にセキュリティ勧告とCVEを公開し、10月15日にブログで影響範囲を説明しました。米CISAは10月23日にKEVに加えています。被害の数や攻撃した者は公表されていません。勧告が更新されたら、この記事を更新します。
今日やること（組み込みCODEを入れている場合）
アプリが入っているか、バージョンはいくつかを確かめる
管理者でログインし、［アプリ］の画面で「Collabora Online - Built-in CODE Server」を探します。有効なアプリだけでなく、無効なアプリの一覧も見ます。コマンドで確かめる場合は、Nextcloudのディレクトリで、Webサーバーの実行ユーザーとして php occ app:list を実行すると、有効・無効の別とバージョンが出ます。richdocumentscode が出てこなければ、この脆弱性の対象ではありません。
更新・削除の前に、検査結果とディレクトリの写しを残す
更新や削除でアプリのディレクトリが置き換わると、置かれたファイルなどの証拠が失われます。先に php occ integrity:check-app richdocumentscode を実行して結果を保存し、アプリのディレクトリ（apps または custom_apps の下の richdocumentscode）を丸ごと別の場所に写します（当サイトの推奨）。
26.4.303より前なら、更新する
［アプリ］の画面から更新するか、php occ app:update richdocumentscode で最新版にします。修正版は26.4.303で、10月25日時点のアプリストアでは、Nextcloud 30以降向けに26.4.502が出ています。更新のあと、バージョンが26.4.303以上になったことを確かめます。
使っていない、またはNextcloud 29以前なら、アプリを削除する
開発元は、無効にしても防げないとしています。使っていなければ php occ app:remove richdocumentscode で削除し、アプリのディレクトリ（apps または custom_apps の下の richdocumentscode）が消えたことを確かめます。Nextcloud 29以前には修正版が配布されていないため、本体を30以降に上げるか、アプリを削除します。
侵入の跡を確かめる
修正版より前の版を9月10日ごろ以降に使っていた場合は、下の「侵害の確かめ方」で、写しておいたアプリのディレクトリ、Webサーバーのログ、実行中のプロセスを確かめます。更新しただけでは、すでに置かれたファイルが消えないことがあります。
跡があれば、切り離してから対応する
見覚えのないファイルやプロセスが見つかったら、ファイルを消して終わりにしません。サーバーを外から切り離し、ログと証拠を残したうえで、認証情報の変更と復旧に進みます。手順は下の「侵入されていた場合」にまとめています。
自分が対象かの早見表
| 使っているもの | 対象か | すること |
|---|---|---|
| richdocumentscode が入っていて、26.4.303より前（有効・無効を問わない） | 対象（勧告） | 更新か削除 |
| richdocumentscode が26.4.303以降 | 修正済み（勧告） | 更新前の期間の痕跡を確認（当サイトの推奨） |
| Nextcloud 29以前に richdocumentscode を入れている | 対象。29以前向けの最新版は26.4.104で、修正版より前 | 本体を30以降に上げるか、アプリを削除（勧告） |
| 単独で動かすCollabora Onlineサーバーにつないでいる（Nextcloud Office の richdocuments だけ） | 対象外（勧告） | このCVEでは不要 |
| CollaboraのDockerイメージ、RPM/DEBパッケージ、Nextcloud All-in-One | 対象外（開発元のブログ） | このCVEでは不要 |
| ARM64向けの richdocumentscode_arm64 | 勧告に記載なし | 同じ版番号の系列なので、最新版への更新を推奨（当サイトの判断） |
All-in-Oneを使っていても、あとから［アプリ］の画面で richdocumentscode を追加している場合は、その分は対象として確かめます（当サイトの判断）。対象外かどうかは、構成の名前ではなく「richdocumentscode が入っているか」で決まります。
1. アプリの有無
richdocumentscode が入っているか（無効も含む）
2. バージョン
26.4.303より前なら対象
3. 9月10日以降の痕跡
古い版を使っていたなら確認
何が公表されたのか（開発元の勧告より）
- CVE
- CVE-2026-110447（GHSA-g3vx-3m76-fghh）
- 種類
- OSコマンドインジェクション（CWE-78）。アプリの proxy.php にある
- 深刻度
- CVSS v4.0で9.2（緊急）。攻撃元区分はネットワーク、認証は不要、利用者の関与は不要。攻撃の前提条件あり（AT:P）
- 影響
- Webサーバーの実行ユーザーの権限で、OSコマンドが実行されるおそれ
- 条件
- 組み込みのCODEサーバーが動いていないとき（コンテナの再起動、更新、異常終了のあとなど）
- 対象
- richdocumentscode の26.4.303より前
- 対策
- 26.4.303以降に更新するか、アプリを削除。無効にするだけでは防げない。Nextcloud 29以前は本体の更新かアプリの削除
- 対象外
- 単独で動かすCollabora Onlineサーバー（勧告）。Dockerイメージ、RPM/DEBパッケージ、Nextcloud All-in-One（開発元のブログ）
- 修正版の公開
- 26.4.303は2026年9月11日（開発元のリリース一覧）
勧告によると、この脆弱性は、以前に公表された別の脆弱性（CVE-2025-66208）とは別の経路で、その修正ではこの脆弱性を防げません。以前の脆弱性への対応を済ませていても、今回の更新は別に必要です。
米CISAは10月23日にCVE-2026-110447をKEVに加え、連邦政府機関の対応期限を10月26日としました。KEVでは、フォレンジック（侵害の調査）のトリアージが必要な対象としています。ランサムウェアでの使用は「不明」です。
いつから狙われていたか
修正版は9月11日に出ましたが、勧告とCVEの公開は10月14日でした。この間、開発元のリポジトリには、9月10日ごろからproxy.phpへの不審な要求があり、アプリのディレクトリに見覚えのないPHPファイルが置かれていたという利用者の報告が寄せられています。Nextcloudの利用者フォーラムでも、10月3日に利用者が更新を呼びかけていました。
報道（BleepingComputer、10月15日）によれば、置かれたWebシェル（外からコマンドを送るために置かれる不正なファイル）は、パスワードの保管ファイルや暗号資産のウォレットを探すのに使われました。ランサムウェアに使われたという利用者の声もありますが、報道機関は確認できていないとしています。同じ報道によれば、開発元は公表の遅れについて、CVEの処理が混み合っていたためと説明しています。
当サイトの見方：修正版が出てから勧告が出るまでの約1か月、アプリの更新を自動にしていなかった管理者には、急ぐ理由が伝わっていませんでした。「勧告が出てから直す」運用では、この期間が丸ごと無防備になります。Nextcloudのアプリは、本体とは別に更新の確認が必要です。
無効にしたまま放置していたアプリも対象
開発元は、アプリを無効にしても問題は防げないとしています。試しに入れて使わなくなったアプリも、ファイルが残っていれば確かめてください。使っていないアプリは無効ではなく削除する、が今回の教訓です（当サイトの判断）。
侵害の確かめ方（防御側の確認）
ここで挙げるのは、管理者が自分のサーバーで行う確認だけです。攻撃の再現はしないでください。
Nextcloudの改ざん検査を使う
Nextcloudには、アプリのファイルが配布物と一致するかを調べる機能があります。php occ integrity:check-app richdocumentscode を実行し、配布物にないファイル（EXTRA_FILE）や中身の違うファイルが出ないかを見ます。Nextcloudの改ざん検査（integrity check）が失敗して気づいた例が、利用者から報告されています。上の「今日やること」のとおり、更新・削除の前に実行し、結果を保存します。
アプリと公開ディレクトリの見覚えのないファイルを探す
richdocumentscode のディレクトリに加え、Nextcloudのディレクトリ全体で、9月10日以降に作られたり変わったりしたPHPファイルを一覧にします（例：find /Nextcloudのパス -name "*.php" -newermt 2026-09-10）。更新でも日付は変わるので、一覧のうち配布物に含まれない名前のものを重点的に確かめます。
Webサーバーのログで proxy.php への要求を見る
アクセスログから、richdocumentscode の proxy.php への要求を抜き出します（例：grep "richdocumentscode/proxy.php" access.log*）。9月10日ごろ以降に、見覚えのない送信元からの要求や、通常と違う長い文字列を含む要求がないかを確かめます。URLエンコードされた書き方の要求もあるため、単に「proxy.php」を含む行も検索します（例：grep "proxy.php" access.log*）。ログの保存期間が短い場合は、残っている分だけでも確認し、その範囲を記録します。
Webサーバーの実行ユーザーのプロセスと通信を見る
Webサーバーの実行ユーザー（www-data、apache、nginx など）で動いているプロセスと、外向きの通信を確かめます。シェルやダウンロードの道具など、Webサーバーが普段起動しないものが動いていないかを見ます。確かめ方の全体はサーバーが不正アクセスされたか調べる方法にまとめています。
侵入されていた場合
Webサーバーの実行ユーザーの権限で動くので、そのユーザーが読めるものはすべて見られた前提で動きます（当サイトの判断）。Nextcloudの場合、設定ファイル（config.php）にあるデータベースのパスワードや、外部ストレージ・メール送信の認証情報、利用者のファイルがこれに当たります。
避けたい対応
- 見つけたファイルを消して、そのまま使い続ける
- 更新しただけで、侵入の有無を確かめない
- ログを確保する前にサーバーを作り直す
- 認証情報を変えずに復旧する
勧める対応
- まずサーバーを外から切り離し、ログと証拠の写しを外に残す
- データベース、外部ストレージ、メール送信、管理者のパスワードとアプリパスワードを変える
- 9月10日より前のバックアップから戻すか作り直し、修正版を入れてから公開する
- 利用者のファイルが見られた可能性を、利用者に知らせるか判断する
バックアップから戻すときは、戻した時点の richdocumentscode が古い版のままになることがあります。外に公開する前に、アプリを更新するか削除してください。組織で使っている場合は、個人情報の扱いに応じて報告の要否も確かめます。復旧の基本はバックアップと復旧の基本にまとめています。
KEVに入った脆弱性を優先する考え方はCVEの直す順番の決め方（CVSS・EPSS・KEV）を参照してください。
まだ分かっていないこと
| 項目 | 状態 |
|---|---|
| 悪用されている事実 | 確定（CISAのKEV） |
| 攻撃が始まった時期 | 開発元のリポジトリに9月10日ごろからの利用者の報告。公式の発表はなし |
| 被害を受けたサーバー・組織の数 | 記載なし |
| 攻撃した者 | 記載なし |
| ランサムウェアでの使用 | KEVでは「不明」。報道は確認できていないとしている |
| 侵害の確かめ方・指標 | 勧告に記載なし |
| ARM64向けアプリ（richdocumentscode_arm64）の扱い | 勧告に記載なし |
出典
- Collabora Online開発元「Unauthenticated OS command injection in the richdocumentscode proxy」（GHSA-g3vx-3m76-fghh、2026年10月14日） — github.com
- Collabora Online開発元のブログ「Stay Safe: Upgrade Everything Regularly」（2026年10月15日） — collaboraonline.com
- richdocumentscode のリリース一覧（26.4.303：9月11日） — github.com
- richdocumentscode の課題 #354（利用者による攻撃の報告、9月11日〜） — github.com
- Nextcloud利用者フォーラム「To Collabora Built-in User: Update ASAP」（10月3日〜） — help.nextcloud.com
- 米CISA「Known Exploited Vulnerabilities Catalog」（CVE-2026-110447） — cisa.gov
- BleepingComputer「Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers」（2026年10月15日） — bleepingcomputer.com
更新履歴
2026-10-25：初版。開発元の勧告・ブログ・リリース一覧、米CISAのKEV、報道にもとづく。
次に読む
- 侵害の確かめ方：サーバーが不正アクセスされたか調べる方法
- 優先順位の決め方：CVEの直す順番の決め方（CVSS・EPSS・KEV）
- 復旧：バックアップと復旧の基本
- 同じ時期の悪用が確認された脆弱性：SiteGuard Server Edition の脆弱性 CVE-2026-106931
- 用語：RCE（リモートコード実行）とは ／ バックドアとは ／ CVSSとは