适用对象：在自有服务器或 VPS 上运行 Nextcloud，并安装了 Collabora Online - Built-in CODE Server 应用（应用 ID richdocumentscode，即在 Nextcloud 内运行办公文档编辑服务器的应用）的管理员。本页内容基于开发者的安全公告和博客，以及 CISA 的公开数据。本页不讨论攻击的具体工作原理。
事件仍在发展：本页将随更多信息发布而更新
截至 2026 年 10 月 24 日 23:00 UTC尚不清楚
- 受影响的服务器或组织数量
- 攻击者身份
- 关于检查入侵的官方指导（安全公告中未包含）
- 同名 ARM64 应用（richdocumentscode_arm64）是否在覆盖范围内
开发者于 10 月 14 日发布了安全公告和 CVE，并于 10 月 15 日在博客文章中说明了影响范围。CISA 于 10 月 23 日将该漏洞加入 KEV。受害者数量和攻击者身份均未公布。安全公告修订后，本页将进行更新。
今天应该做什么（如果安装了内置 CODE 应用）
检查应用是否已安装及其版本
以管理员身份登录，在应用页面中查找 Collabora Online - Built-in CODE Server。除已启用的应用外，还要检查已禁用的应用列表。在命令行中，于 Nextcloud 目录下以 Web 服务器用户身份运行 php occ app:list，它会显示每个应用、是否启用及其版本。如果列表中没有 richdocumentscode，则不受此漏洞影响。
在更新或移除之前，保存检查输出并备份目录
更新或移除应用会替换其目录，已植入的文件和其他证据可能会丢失。请先运行 php occ integrity:check-app richdocumentscode 并保存输出，然后将整个应用目录（apps 或 custom_apps 下的 richdocumentscode）复制到其他位置（本站建议）。
如果版本低于 26.4.303，请更新
可在应用页面更新，或运行 php occ app:update richdocumentscode。修复版本为 26.4.303；截至 10 月 25 日，应用商店为 Nextcloud 30 及更高版本提供的是 26.4.502。更新后，请确认版本为 26.4.303 或更高。
如果不使用该应用，或运行 Nextcloud 29 或更早版本，请将其移除
开发者称，禁用无法解决问题。如果不使用该应用，请运行 php occ app:remove richdocumentscode 将其移除，并确认应用目录（apps 或 custom_apps 下的 richdocumentscode）已被删除。Nextcloud 29 及更早版本没有提供已修复的版本，因此请将 Nextcloud 升级到 30 或更高版本，或移除该应用。
检查入侵迹象
如果自约 9 月 10 日以来的任何时候运行过低于修复版本的版本，请按下文“如何检查是否已被入侵”所述，检查已复制的应用目录、Web 服务器日志和正在运行的进程。更新可能无法删除已植入的文件。
如果发现痕迹，先隔离
如果发现您不认识的文件或进程，请不要直接删除后继续操作。先将服务器断开网络，保留日志和证据，然后再更换凭据并恢复。具体步骤见下文“如果服务器已被入侵”。
您是否受影响？快速参考
| 您的运行情况 | 是否受影响 | 应采取的措施 |
|---|---|---|
| 已安装 richdocumentscode，版本低于 26.4.303（无论是否启用） | 是（据安全公告） | 更新或移除 |
| richdocumentscode 为 26.4.303 或更高 | 已修复（据安全公告） | 检查更新前是否存在入侵痕迹（本站建议） |
| Nextcloud 29 或更早版本上的 richdocumentscode | 是。29 及更早版本可获得的最新版本为 26.4.104，早于修复版本 | 将 Nextcloud 升级到 30 或更高版本，或移除该应用（据安全公告） |
| 仅连接独立 Collabora Online 服务器（Nextcloud Office，即 richdocuments） | 不受影响（据安全公告） | 无需针对此 CVE 操作 |
| Collabora Docker 镜像、RPM/DEB 软件包、Nextcloud All-in-One | 不受影响（据开发者博客） | 无需针对此 CVE 操作 |
| richdocumentscode_arm64（ARM64 应用） | 安全公告中未提及 | 版本线相同；我们建议更新到最新版本（本站观点） |
即使使用 All-in-One，如果您之后在应用页面中添加了 richdocumentscode，也应将该应用视为受影响（本站观点）。是否受影响取决于是否安装了 richdocumentscode，而不取决于您的部署方式名称。
1. 是否已安装？
存在 richdocumentscode，包括已禁用的
2. 版本
低于 26.4.303 即受影响
3. 9 月 10 日以来的痕迹
如果运行过旧版本，请检查
已披露的内容（开发者安全公告）
- CVE
- CVE-2026-110447（GHSA-g3vx-3m76-fghh）
- 类型
- 应用 proxy.php 中的操作系统命令注入（CWE-78）
- 严重程度
- CVSS v4.0 9.2（严重）。网络攻击向量，无需认证，无需用户交互。存在攻击前提条件（AT:P）
- 影响
- 操作系统命令可能以 Web 服务器用户身份运行
- 触发条件
- 内置 CODE 服务器未在运行（例如容器重启、升级或崩溃之后）
- 受影响范围
- richdocumentscode 26.4.303 之前的版本
- 修复方法
- 更新到 26.4.303 或更高版本，或移除该应用。禁用并不足够。在 Nextcloud 29 及更早版本上，请更新 Nextcloud 或移除该应用
- 不受影响
- 独立 Collabora Online 服务器（据安全公告）。Docker 镜像、RPM/DEB 软件包、Nextcloud All-in-One（据开发者博客）
- 修复发布
- 26.4.303，2026 年 9 月 11 日（据开发者发布列表）
安全公告称，此漏洞所采用的路径与此前的一个漏洞（CVE-2025-66208）不同，针对该漏洞的修复无法阻止此漏洞。处理过之前的漏洞并不意味着无需进行本次更新。
CISA 于 10 月 23 日将 CVE-2026-110447 加入 KEV，并将 10 月 26 日设为美国联邦机构的截止日期。KEV 条目标注该漏洞需要进行取证分析。已知勒索软件活动使用情况标注为“未知”。
攻击何时开始
修复版本于 9 月 11 日发布，但安全公告和 CVE 直到 10 月 14 日才发布。在此期间，用户在开发者代码仓库中报告，约自 9 月 10 日起，他们看到了针对 proxy.php 的可疑请求，以及应用目录中不认识的 PHP 文件。在 Nextcloud 社区论坛上，有用户于 10 月 3 日敦促他人尽快更新。
据 BleepingComputer（10 月 15 日）报道，植入的 Web Shell（允许外部人员向服务器发送命令的恶意文件）被用来查找密码保管库文件和加密货币钱包。部分用户称涉及勒索软件，但该媒体表示无法证实。同一报道称，开发者将公告发布延迟归因于 CVE 处理积压。
本站观点：在修复发布与安全公告之间的这一个月里，未开启应用自动更新的管理员没有任何信号表明此次更新紧迫。“等安全公告出现后再打补丁”的做法会留下整段空窗期。Nextcloud 应用需要独立于 Nextcloud 本体进行更新检查。
已禁用但被遗忘的应用仍然有风险
开发者称，禁用该应用无法解决问题。如果您曾安装它进行尝试后便不再使用，请趁其文件仍然存在时进行检查。这里的教训是移除不再使用的应用，而不仅仅是禁用（本站观点）。
如何检查是否已被入侵（防御方检查）
以下是管理员在自有服务器上执行的检查。请勿尝试复现攻击。
运行 Nextcloud 完整性检查
Nextcloud 可以检查应用文件是否与已发布版本一致。运行 php occ integrity:check-app richdocumentscode，查看是否存在不在发布版本中的文件（EXTRA_FILE），或内容不同的文件。有用户报告称，正是在 Nextcloud 完整性检查失败时发现了入侵。与上文“今天应该做什么”一致，请在更新或移除应用之前运行该检查并保存输出。
查找应用目录和网站目录中不熟悉的文件
除 richdocumentscode 目录外，请列出 Nextcloud 目录中自 9 月 10 日以来创建或修改的 PHP 文件（例如 find /path/to/nextcloud -name "*.php" -newermt 2026-09-10）。更新也会改变文件日期，因此应重点关注不属于官方发布内容的文件名。
检查 Web 服务器日志中对 proxy.php 的请求
从访问日志中提取对 richdocumentscode 的 proxy.php 的请求（例如 grep "richdocumentscode/proxy.php" access.log*）。重点查看约自 9 月 10 日以来、来自不明来源的请求，或包含异常长字符串的请求。部分请求使用 URL 编码形式，因此还应直接搜索包含 "proxy.php" 的行（例如 grep "proxy.php" access.log*）。如果日志保留时间较短，请检查现存内容并记录所涵盖的时间段。
检查 Web 服务器用户的进程和连接
检查以 Web 服务器用户（www-data、apache、nginx 等）运行的进程以及外连连接。查找 Web 服务器通常不会启动的 Shell、下载工具或其他程序。我们的指南 如何检查网站或服务器是否被入侵 涵盖了完整流程。
如果服务器已被入侵
由于命令以 Web 服务器用户身份运行，应假定该用户可读取的内容都已被查看（本站观点）。对于 Nextcloud 而言，这包括 config.php 中的数据库密码、外部存储和邮件凭据，以及用户文件。
应避免的做法
- 删除发现的文件后继续运行
- 未检查是否有人入侵就直接更新
- 在保留日志之前重建服务器
- 未更换凭据就直接恢复
建议的做法
- 首先将服务器断开网络，并将日志和证据副本保存到其他位置
- 更换数据库、外部存储、邮件、管理员和应用的密码
- 从 9 月 10 日之前的备份恢复，或重建服务器，并在重新上线前应用修复
- 决定是否需要告知用户其文件可能已被查看
已恢复的备份可能会带回旧版本的 richdocumentscode。在重新对外开放服务器之前，请更新或移除该应用。如果某机构使用该服务器，请检查您是否负有个人数据方面的报告义务。我们的 备份基础 指南涵盖了恢复的基本知识。
关于如何确定 KEV 中所列漏洞的修复优先级，请参阅 使用 CVSS、EPSS 和 KEV 决定优先修补的漏洞。
尚不清楚的内容
| 事项 | 状态 |
|---|---|
| 积极利用 | 已确认（CISA KEV） |
| 攻击开始时间 | 用户报告约自 9 月 10 日起，来自开发者代码仓库；无官方声明 |
| 受影响的服务器或组织数量 | 未说明 |
| 攻击者身份 | 未说明 |
| 勒索软件使用情况 | KEV 中标注为“未知”；媒体表示无法证实 |
| 官方入侵检查方法或指标 | 安全公告中未包含 |
| ARM64 应用（richdocumentscode_arm64） | 安全公告中未提及 |
来源
- Collabora Online 开发者，《richdocumentscode 代理中的未认证操作系统命令注入》（GHSA-g3vx-3m76-fghh，2026 年 10 月 14 日）— github.com
- Collabora Online 开发者博客，《Stay Safe: Upgrade Everything Regularly》（2026 年 10 月 15 日）— collaboraonline.com
- richdocumentscode 发布列表（26.4.303：9 月 11 日）— github.com
- richdocumentscode 议题 #354（用户报告的攻击，自 9 月 11 日起）— github.com
- Nextcloud 社区论坛，《To Collabora Built-in User: Update ASAP》（自 10 月 3 日）— help.nextcloud.com
- CISA，已知被利用漏洞目录（CVE-2026-110447）— cisa.gov
- BleepingComputer，《Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers》（2026 年 10 月 15 日）— bleepingcomputer.com
更新记录
2026-10-25：首次发布，基于开发者的安全公告、博客和发布列表、CISA 的 KEV 目录以及媒体报道。
延伸阅读
- 检查入侵：如何检查您的网站或服务器是否被入侵
- 修复优先级：决定优先修补的漏洞：CVSS、EPSS 和 KEV
- 恢复：备份基础
- 同期另一个被利用的漏洞：SiteGuard Server Edition CVE-2026-106931
- 术语表：什么是 RCE？ / 什么是后门？ / 什么是 CVSS？