2026-10-25
Nextcloudの組み込みCollabora（CODE）脆弱性 CVE-2026-110447（悪用確認）｜対象の確かめ方と対策
Collabora Onlineの開発元は2026年10月14日、Nextcloud用アプリ「Collabora Online - Built-in CODE Server」（アプリID richdocumentscode）に、認証なしでOSコマンドを実行される脆弱性CVE-2026-110447があると公表した。アプリのproxy.phpを通じて、Webサーバーの実行ユーザーの権限でコマンドが動くおそれがある。条件は、組み込みのCODEサーバーが動いていないとき（コンテナの再起動、更新、異常終了のあとなど）。対象は26.4.303より前で、修正版の26.4.303は9月11日に出ている。開発元はアプリを無効にしても防げないとし、更新か削除を求めている。サポートが終わったNextcloud 29以前は、Nextcloud本体を更新するかアプリを削除する。開発元は、単独で動かすCollabora Onlineサーバー、Dockerイメージ、RPM/DEBパッケージ、Nextcloud All-in-Oneは影響を受けないとしている。CVSS v4.0は9.2。米CISAは10月23日に悪用が確認された脆弱性の一覧（KEV）に加え、対応期限を10月26日とした。開発元のリポジトリには9月10日ごろからの攻撃の報告があり、報道によればWebシェルが置かれた例がある。当サイトの結論：組み込みCODEを入れているなら、無効にしたままでも今日バージョンを確かめ、更新か削除をしてから、9月10日以降の痕跡を確かめる。