適用對象：在自有伺服器或 VPS 上運行 Nextcloud，並已安裝 Collabora Online - Built-in CODE Server 應用程式（應用程式 ID richdocumentscode，即在 Nextcloud 內執行辦公文件編輯伺服器的應用程式）的管理員。本頁內容根據開發者的安全公告與部落格、以及 CISA 的公開資料撰寫，不說明攻擊的運作方式。
進行中：本頁將隨新資訊公布而更新
截至 2026 年 10 月 24 日 23:00 UTC尚不清楚
- 受影響的伺服器或機構數量
- 攻擊者身分
- 官方的入侵檢查指引（公告中未提供）
- 同名的 ARM64 應用程式（richdocumentscode_arm64）是否涵蓋在內
開發者於 10 月 14 日發布安全公告與 CVE，並於 10 月 15 日在部落格文章中說明影響範圍。CISA 於 10 月 23 日將此漏洞加入 KEV。目前尚未公布受害者數量，也未公布攻擊者身分。公告修訂時，本頁將隨之更新。
今天該做什麼（若已安裝內建 CODE 應用程式）
確認應用程式是否已安裝及其版本
以管理員身分登入，並在「應用程式」頁面尋找 Collabora Online - Built-in CODE Server。除了已啟用的應用程式，也請檢查已停用的應用程式清單。若使用指令列，請以網頁伺服器使用者身分，在 Nextcloud 目錄執行 php occ app:list，它會顯示每個應用程式、是否啟用及其版本。若清單中沒有 richdocumentscode，表示您不受此漏洞影響。
更新或移除前，先儲存檢查輸出並備份目錄
更新或移除應用程式會取代其目錄，植入的檔案與其他證據將會遺失。請先執行 php occ integrity:check-app richdocumentscode 並儲存輸出結果，然後將整個應用程式目錄（apps 或 custom_apps 下的 richdocumentscode）複製到其他地方（本站建議）。
若版本低於 26.4.303，請更新
可在「應用程式」頁面更新，或執行 php occ app:update richdocumentscode。修補程式位於 26.4.303；截至 10 月 25 日，應用程式商店為 Nextcloud 30 及更新版本提供的是 26.4.502。更新後，請確認版本為 26.4.303 或更高。
若不使用，或仍在執行 Nextcloud 29 或更舊版本，請移除
開發者表示，停用無法防止問題。若不使用此應用程式，請以 php occ app:remove richdocumentscode 移除，並確認應用程式目錄（apps 或 custom_apps 下的 richdocumentscode）已刪除。Nextcloud 29 及更舊版本沒有提供修補版本，因此請將 Nextcloud 升級至 30 或更新版本，或移除此應用程式。
檢查入侵跡象
若自 9 月 10 日左右起，您曾在任何時間執行低於修補版本的版本，請依照下方「如何檢查是否遭入侵」的說明，檢查複製出來的應用程式目錄、網頁伺服器紀錄與執行中的程序。更新可能無法移除已植入的檔案。
若發現痕跡，先隔離
若發現您不認識的檔案或程序，請勿直接刪除後繼續作業。請先將伺服器與網路中斷，保留紀錄與證據，再進行更換憑證與還原。相關步驟請見下方「若伺服器已遭入侵」。
您是否受影響？快速對照表
| 您的環境 | 是否受影響 | 應採取的行動 |
|---|---|---|
| 已安裝 richdocumentscode，版本低於 26.4.303（無論已啟用或已停用） | 是（依公告） | 更新或移除 |
| richdocumentscode 26.4.303 或更新版本 | 已修補（依公告） | 檢查更新前是否有入侵痕跡（本站建議） |
| 在 Nextcloud 29 或更舊版本上使用 richdocumentscode | 是。29 及更舊版本提供的最新版本為 26.4.104，早於修補版本 | 將 Nextcloud 升級至 30 或更新版本，或移除此應用程式（依公告） |
| 連線至獨立 Collabora Online 伺服器（僅限 Nextcloud Office、richdocuments） | 不受影響（依公告） | 此 CVE 無需處理 |
| Collabora Docker 映像檔、RPM/DEB 套件、Nextcloud All-in-One | 不受影響（依開發者部落格） | 此 CVE 無需處理 |
| richdocumentscode_arm64（ARM64 應用程式） | 公告中未提及 | 版本線相同；建議更新至最新版本（本站觀點） |
即使使用 All-in-One，若您之後從「應用程式」頁面另外加裝了 richdocumentscode，請將該應用程式視為受影響（本站觀點）。是否受影響取決於是否安裝了 richdocumentscode，而非您的部署方式名稱。
1. 是否已安裝？
存在 richdocumentscode，包括已停用者
2. 版本
低於 26.4.303 即受影響
3. 自 9 月 10 日起的痕跡
若曾執行舊版本，請檢查
已揭露的內容（開發者公告）
- CVE
- CVE-2026-110447（GHSA-g3vx-3m76-fghh）
- 類型
- 應用程式 proxy.php 中的作業系統指令注入（CWE-78）
- 嚴重性
- CVSS v4.0 9.2（嚴重）。攻擊途徑為網路、無需驗證、無需使用者互動。存在攻擊條件（AT:P）
- 影響
- 作業系統指令可能以網頁伺服器使用者的身分執行
- 條件
- 內建 CODE 伺服器未在執行（例如容器重新啟動、升級或當機之後）
- 受影響
- richdocumentscode 26.4.303 之前的版本
- 修補方式
- 更新至 26.4.303 或更新版本，或移除此應用程式。停用並不足夠。在 Nextcloud 29 及更早版本上，請更新 Nextcloud 或移除此應用程式
- 不受影響
- 獨立 Collabora Online 伺服器（依公告）。Docker 映像檔、RPM/DEB 套件、Nextcloud All-in-One（依開發者部落格）
- 修補發布
- 26.4.303，2026 年 9 月 11 日（依開發者發布清單）
公告指出，此漏洞所走的路徑與先前的漏洞（CVE-2025-66208）不同，且該漏洞的修補程式無法防止本漏洞。已處理先前的漏洞，並不能免除此次更新的必要性。
CISA 於 10 月 23 日將 CVE-2026-110447 加入 KEV，並將 10 月 26 日訂為美國聯邦機構的截止日期。KEV 條目標示此漏洞需要進行鑑識分級處理（forensic triage）。已知勒索軟體活動的使用情形標示為「未知」。
攻擊何時開始
修補程式於 9 月 11 日發布，但公告與 CVE 直到 10 月 14 日才公布。在此期間，使用者在開發者的儲存庫中回報，約自 9 月 10 日起，他們看到對 proxy.php 的可疑請求，以及應用程式目錄中自己不認得的 PHP 檔案。在 Nextcloud 社群論壇上，有使用者於 10 月 3 日呼籲其他人盡快更新。
據 BleepingComputer（10 月 15 日）報導，被植入的網頁後門（讓外部人員能對伺服器下達指令的惡意檔案）被用來尋找密碼保管庫檔案與加密貨幣錢包。部分使用者表示涉及勒索軟體，但該媒體表示無法證實。同一報導指出，開發者將公布延後歸因於 CVE 處理積壓。
本站觀點：在修補發布與公告之間的這一個月，未自動更新應用程式的管理員，沒有任何訊號顯示此次更新迫切。「等公告出來再修補」的流程會讓整段時間都留有空隙。Nextcloud 應用程式需要獨立於 Nextcloud 本身的更新檢查。
已停用、被遺忘的應用程式仍然算數
開發者表示，停用應用程式無法防止問題。若您曾為了測試而安裝它，之後便不再使用，請在其檔案仍存在時進行檢查。此處的教訓是應移除不再使用的應用程式，而不只是停用（本站觀點）。
如何檢查是否遭入侵（防禦者端檢查）
以下是管理員在自有伺服器上執行的檢查。請勿嘗試重現攻擊。
執行 Nextcloud 完整性檢查
Nextcloud 可檢查應用程式的檔案是否與已發布的版本相符。執行 php occ integrity:check-app richdocumentscode，並留意不在正式版本中的檔案（EXTRA_FILE），或內容有所不同的檔案。有使用者表示，是在 Nextcloud 完整性檢查失敗時才發現遭入侵。如同上方「今天該做什麼」所述，請在更新或移除應用程式之前執行此檢查並儲存輸出。
查找應用程式與網頁目錄中不熟悉的檔案
除了 richdocumentscode 目錄外，請列出 Nextcloud 目錄中自 9 月 10 日起建立或變更的 PHP 檔案（例如 find /path/to/nextcloud -name "*.php" -newermt 2026-09-10）。更新也會改變日期，因此請特別留意不屬於官方版本的檔名。
檢查網頁伺服器紀錄中對 proxy.php 的請求
從存取紀錄中擷取對 richdocumentscode 之 proxy.php 的請求（例如 grep "richdocumentscode/proxy.php" access.log*）。留意自約 9 月 10 日起、來自您不認識來源的請求，或字串異常長的請求。部分請求使用 URL 編碼形式，因此也請單純搜尋包含「proxy.php」的行（例如 grep "proxy.php" access.log*）。若您的紀錄只保留很短的時間，請確認剩餘紀錄的涵蓋期間。
檢查網頁伺服器使用者的程序與連線
檢查以網頁伺服器使用者（www-data、apache、nginx 等）執行的程序，以及對外連線。留意 shell、下載工具，或任何網頁伺服器通常不會啟動的項目。我們的 如何檢查網站或伺服器是否遭入侵 一文涵蓋完整流程。
若伺服器已遭入侵
由於指令以網頁伺服器使用者的身分執行，請假設該使用者能讀取的內容都已被看見（本站觀點）。對 Nextcloud 而言，這包括 config.php 中的資料庫密碼、外部儲存與郵件憑證，以及使用者的檔案。
應避免的做法
- 刪除找到的檔案後繼續作業
- 未確認是否有人入侵就直接更新
- 在保留紀錄之前就重建伺服器
- 未更換憑證就還原
建議的處置
- 先將伺服器與網路中斷，並將紀錄與證據副本保存到其他地方
- 更換資料庫、外部儲存、郵件、管理員與應用程式的密碼
- 從 9 月 10 日前建立的備份還原，或重建，並在重新上線前套用修補
- 決定是否需要告知使用者，其檔案可能已被看見
還原備份可能會把舊版 richdocumentscode 帶回來。請在再次對外開放伺服器前，先更新或移除此應用程式。若此伺服器由機構使用，請確認是否負有個人資料通報義務。我們的 備份基礎 一文涵蓋還原的基本概念。
關於如何依 CVSS、EPSS 與 KEV 排定 KEV 所列漏洞的修補優先順序，請見 如何用 CVSS、EPSS 與 KEV 決定優先修補項目。
目前尚不清楚的事項
| 項目 | 狀態 |
|---|---|
| 主動遭利用 | 已確認（CISA KEV） |
| 攻擊何時開始 | 使用者於開發者儲存庫回報，約自 9 月 10 日起；無官方聲明 |
| 受影響的伺服器或機構數量 | 未公布 |
| 攻擊者身分 | 未公布 |
| 勒索軟體使用情形 | KEV 標示為「未知」；媒體表示無法證實 |
| 官方入侵檢查方法或指標 | 公告中未提供 |
| ARM64 應用程式（richdocumentscode_arm64） | 公告中未提及 |
資料來源
- Collabora Online 開發者，「richdocumentscode proxy 中無需驗證的作業系統指令注入」（GHSA-g3vx-3m76-fghh，2026 年 10 月 14 日）— github.com
- Collabora Online 開發者部落格，「Stay Safe: Upgrade Everything Regularly」（2026 年 10 月 15 日）— collaboraonline.com
- richdocumentscode 發布清單（26.4.303：9 月 11 日）— github.com
- richdocumentscode issue #354（使用者回報的攻擊，自 9 月 11 日起）— github.com
- Nextcloud 社群論壇，「To Collabora Built-in User: Update ASAP」（自 10 月 3 日起）— help.nextcloud.com
- CISA，已知遭利用漏洞目錄（CVE-2026-110447）— cisa.gov
- BleepingComputer，「Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers」（2026 年 10 月 15 日）— bleepingcomputer.com
更新紀錄
2026-10-25：首次發布，依據開發者公告、部落格與發布清單、CISA KEV 目錄及媒體報導撰寫。
延伸閱讀
- 檢查入侵：如何檢查網站或伺服器是否遭入侵
- 排定修補優先順序：決定優先修補項目：CVSS、EPSS 與 KEV
- 復原：備份基礎
- 同期另一個遭利用的漏洞：SiteGuard Server Edition CVE-2026-106931
- 詞彙表：什麼是 RCE？ / 什麼是後門？ / 什麼是 CVSS？