Nextcloud内蔵CODE Serverにコマンド実行の脆弱性―無効化だけでは防げず

Collaboraは2026年10月15日、Nextcloud向け「Collabora Online - Built-in CODE Server」の利用者に、26.4.303以降への更新を呼びかけました。対象の脆弱性はCVE-2026-110447です。修正は約1か月前に提供済みで、14日のセキュリティ勧告に続く案内です。

影響するのは、追加アプリrichdocumentscodeの26.4.303未満です。提供元の勧告によると、外部からのリクエストにより、Webサーバーの実行ユーザー権限でOSコマンドを動かされる可能性があります。認証や利用者の操作は不要ですが、内蔵CODE Serverが動いていないことが成立条件です。再起動や更新、クラッシュ後などが該当します。

アプリを無効にするだけでは回避できず、修正版への更新かアプリの削除が必要です。Nextcloud 29以前を使っている場合は、Nextcloud自体を更新するか、このアプリを削除するよう勧告しています。独立したCollabora Onlineサーバーは今回の対象ではありません。

CVEの記録には、9〜10月に実際の悪用があったと記載されています。一方、被害件数や国内での被害は、今回確認した一次資料では分かりません。AIを使った攻撃とする根拠も示されていません。

管理者はNextcloud本体のバージョンだけで判断せず、追加アプリの有無とバージョンを確認してください。更新対象はrichdocumentscodeです。編集部としては、更新後のバージョン確認に加え、不審なアクセスやファイルの有無を調べ、過去の侵害が疑われる場合は調査担当者に引き継ぐことを勧めます。更新だけで侵害済みの状態まで解消したとは判断できません。