Nextcloud内蔵CODE Serverの脆弱性、CISAが悪用確認済みリストに追加
更新呼びかけに続き、米CISAが優先対応の対象に登録しました。修正版への更新に加え、侵害の痕跡を確認する扱いになっています。
KEV登録日（CISA記載）：2026-10-23 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約2分
米CISAは2026年10月23日、Nextcloudの追加アプリ「Collabora Online - Built-in CODE Server」のCVE-2026-110447を、悪用が確認された脆弱性の一覧「KEV」に追加しました。10月15日の提供元による更新呼びかけに続く動きです。脆弱性や修正版が新たに公開されたわけではありません。
登録データは対応期限を10月26日とし、侵害の痕跡を調べるフォレンジック・トリアージも対象に指定しています。この期限を日本の全企業に課された期限とは扱いませんが、実際の悪用を踏まえて更新と調査を優先する判断材料になります。ランサムウェアでの利用状況は「不明」です。
対象はrichdocumentscodeの26.4.303未満です。内蔵CODE Serverが停止している際、認証なしでWebサーバーのユーザー権限によるOSコマンド実行が可能になります。アプリの無効化だけでは防げず、26.4.303以降への更新か削除が必要です。独立したCollabora Onlineサーバーは対象外です。
今回のKEV登録で、被害組織数や国内被害の件数は示されていません。Nextcloud AIOが別途対応したPHPの脆弱性とも別件です。PHPの更新だけでこのアプリの対策を終えたと判断せず、追加アプリの有無・バージョンも確認してください。
出典と編集について
CISA：Known Exploited Vulnerabilities Catalog（公式GitHubミラー、10月23日版） ↗Collabora：影響バージョン・成立条件・修正方法（10月14日） ↗
本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。