Nextcloud内蔵CODE Serverの脆弱性まとめ｜更新勧告からCISAの悪用確認まで
richdocumentscodeの修正版・無効化では防げない条件・悪用確認を整理。提供元の勧告からCISAの登録までを時系列で追えます。
最新のKEV登録日（CISA記載）：2026-10-23 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約4分
最終確認 2026-10-27
修正版提供済み・CISAの悪用確認済みリストに登録
10月27日確認：対象はNextcloudの追加アプリrichdocumentscodeの26.4.303未満で、修正版は26.4.303以降です。無効化だけでは回避できず、更新または削除が必要です。Nextcloud 29以前は本体の更新または対象アプリの削除を案内しています。独立したCollabora Onlineサーバーは対象外です。
前報からわかったこと
10月23日、CISAが悪用確認済みの脆弱性一覧KEVに追加しました。10月14日の提供元勧告と15日の更新呼びかけに続く公的な優先対応の指定です。登録データは侵害の痕跡を確認するフォレンジック・トリアージも対象としています。
利用者・担当者が確認したいこと
Nextcloud本体だけを更新すればよい？
今回の対象は追加アプリrichdocumentscodeです。アプリの版を確認し、26.4.303以降への更新または削除を行います。Nextcloud 29以前はサポート終了版のため、本体の更新またはこのアプリの削除が案内されています。
根拠となる公式情報 ↗アプリを無効にした、普段は動いている場合は？
無効化だけでは回避できません。攻撃は内蔵CODE Serverが停止している間に成立し、再起動・更新・異常終了が該当します。通常時に動いていても、更新を省ける条件にはなりません。独立したCollabora Onlineサーバーは対象外です。
根拠となる公式情報 ↗更新後は何を確認する？
編集部の確認案として、管理画面で実際のアプリ版を確認し、文書の表示・編集が正常に動くか試します。CISAが悪用確認済みとしているため、更新とは別に過去のアクセスや不審な実行の有無も調査します。修正済みであることと、過去に侵入されていないことは別です。
根拠となる公式情報 ↗これまでの経緯
公式発表の公表日順（古い順）に掲載しています。当社記事がない報告は公式発表へ直接リンクしています。
提供元が影響範囲と回避策を公表
26.4.303未満を対象に、更新または削除を案内。独立したCollabora Onlineサーバーは影響を受けず、内蔵アプリの無効化だけでは防げないことを明記しました。
公式発表 ↗提供元が更新を再度呼びかけ
提供元が改めて更新を呼びかけ。既報では追加アプリの更新と、停止時にも成立する攻撃条件を整理しました。
Nextcloud内蔵CODE Serverにコマンド実行の脆弱性―無効化だけでは防げず →当社記事公開：2026-10-16 · 公式発表 ↗CISAがKEVに追加
悪用確認済みリストに追加し、侵害の痕跡を確認する対象にも指定。登録上の対応期限は10月26日ですが、日本の全企業に一律適用される期限としては扱いません。
Nextcloud内蔵CODE Serverの脆弱性、CISAが悪用確認済みリストに追加 →当社記事公開：2026-10-24 · 公式発表 ↗
確認できていないこと
被害組織数や国内被害の規模は、確認した勧告・KEV登録では示されていません。ランサムウェアでの利用状況も不明です。修正版の適用だけで、過去に侵害されていないと証明できるわけではありません。
出典と編集について
CISA・Collabora：CISA KEVの公式GitHubミラー（対象CVEの登録日は10月23日） ↗Collabora：CVE-2026-110447の対象・修正版・成立条件 ↗
本記事は公式発表と当媒体の過去記事を整理した経緯まとめです。公表日と当社記事の公開日を区別し、確認時点を明記しています。