Nextcloudの組み込みCODE Server。停止中に成立する脆弱性の対象を確認する

取り上げた理由

Nextcloud全体や独立したCollaboraサーバーの問題と混同せず、対象アプリと稼働状態を確認するためです。

NextcloudでCollabora Online Built-in CODE Serverを使う管理者。

出典で確認した事実

CVE-2026-110447は、Nextcloud用アプリrichdocumentscodeとして提供されるCollabora Online Built-in CODE Serverの遠隔コード実行につながる問題です。NVDは、2026年9月と10月に実環境で悪用されたと記録しています。

出典で確認した事実

NVDの説明では、CODE Serverが動いていないときにproxy.phpのOSコマンドインジェクションが成立する経路を示しています。再起動直後などが例に挙げられています。

出典で確認した事実

独立して稼働するCollabora Onlineサーバーには、この脆弱性はないと説明されています。Nextcloudを使っているだけで、すべての構成が対象になるわけではありません。

出典で確認した事実

保存されたNVDの対象情報は、richdocumentscodeの26.4.303未満を対象とし、26.4.303を対象範囲の上限から除外しています。

AIの見立て

管理者は、導入しているのがこの組み込みアプリか、実際の版が対象範囲に入るかを確認し、提供元の更新案内に従って対応してください。停止時に成立する問題なので、動いていないことだけを安全の根拠にしないことが重要です。

AIの見立て

更新状況と、過去の侵害の有無は分けて確認します。対象だった環境では、記録を保全し、不審な変更やアクセスを自組織のインシデント対応手順に沿って確認してください。

利用環境によって未確認

個別環境の侵害状況、攻撃成功率、被害件数は確認していません。本記事の保存資料だけで、アプリを無効化した場合の防御効果や各Nextcloud版の更新可否を判断することもできません。

個別環境の侵害状況、攻撃成功率、被害件数は確認していません。本記事の保存資料だけで、アプリを無効化した場合の防御効果や各Nextcloud版の更新可否を判断することもできません。

NVDの影響範囲・説明・修正境界の更新を点検します。