Nextcloud Collabora Sicherheitslücke 2026: Wer betroffen ist und wie du sie schließt

Ein eigener Cloud-Server gibt dir Kontrolle über deine Dateien, Kalender und Kontakte. Doch gerade bei Nextcloud müssen nicht nur der Server selbst, sondern auch zusätzliche Apps aktuell bleiben. Im Oktober 2026 ist eine besonders kritische Sicherheitslücke in der optionalen Erweiterung Collabora Online – Built-in CODE Server bekannt geworden. Die Schwachstelle CVE-2026-110447 wird mit CVSS 9,2 bewertet und wurde nach veröffentlichten Berichten bereits ausgenutzt. Wichtig ist die Unterscheidung: Nicht jede Nextcloud-Installation ist betroffen.

Schnellcheck: Ist deine Nextcloud betroffen?

Prüfe in Nextcloud unter Apps, ob „Collabora Online – Built-in CODE Server“ (technischer Name richdocumentscode) installiert ist. Nicht mit „Nextcloud Office“ (richdocuments) verwechseln. Fehlt richdocumentscode, betrifft dich genau diese Sicherheitslücke nicht. Ist die App vorhanden, prüfe ihre Version und aktualisiere auf mindestens 26.4.303 oder entferne sie vollständig. Nur deaktivieren genügt ausdrücklich nicht.

Wichtig: Bei Nextcloud 29 und älter kann die korrigierte App nicht regulär installiert werden. Aktualisiere Nextcloud auf einen unterstützten Stand oder entferne richdocumentscode. Bei öffentlich erreichbaren, zuvor verwundbaren Installationen zusätzlich Logs und App-Verzeichnis auf Angriffsspuren untersuchen. Ein Patch entfernt keine Webshell.

Die richtige Maßnahme auf einen Blick

Keine App richdocumentscode installiert → für CVE-2026-110447 kein unmittelbarer Handlungsbedarf. App-Version 26.4.303 oder neuer → Fix vorhanden; bei vorheriger Exposition trotzdem Spuren prüfen. App-Version älter als 26.4.303 → unverzüglich aktualisieren oder vollständig entfernen. Nextcloud 29 oder älter → Nextcloud upgraden oder die App entfernen. Standalone Collabora-Server → von genau dieser Schwachstelle nicht betroffen.

Nextcloud Collabora Sicherheitslücke: Wer ist betroffen?

Betroffen ist die Nextcloud-App richdocumentscode in Versionen vor 26.4.303. Sie stellt einen eingebauten Collabora Online Development Edition (CODE) Server bereit. Die Schwachstelle steckt im Proxy der App, nicht pauschal im Nextcloud-Kern. Wer nur die App richdocuments nutzt und richdocumentscode nicht installiert hat, ist von genau dieser Schwachstelle nicht betroffen. Eigenständige Collabora-Online-Server sind laut Hersteller ebenfalls nicht betroffen.

Warum die Schwachstelle so gefährlich ist

Die Ursache ist eine OS Command Injection im Proxy-Skript proxy.php. Unter bestimmten Bedingungen können Angreifer ohne Anmeldung Betriebssystembefehle mit den Rechten des Webserver-Benutzers ausführen. Besonders relevant ist ein Zeitraum, in dem der eingebaute CODE-Server nicht läuft – beispielsweise nach einem Neustart, während eines Updates oder nach einem Absturz. Ein Webserver-Benutzer ist zwar nicht automatisch Administrator, kann aber je nach Installation auf sensible Anwendungsdateien zugreifen.

Sicherheitsforscher und Administratoren berichteten über Angriffe, bei denen Webshells abgelegt wurden. Eine Webshell ist eine Datei, die einem Angreifer über HTTP weitere Befehle ermöglicht. Ein eingespieltes Update beseitigt die Schwachstelle, entfernt aber keine bereits hinterlegte Webshell. Wer eine gefährdete Version öffentlich betrieben hat, sollte deshalb neben dem Update auch die Integrität der Installation und die Zugriffsprotokolle untersuchen.

Was du jetzt konkret tun solltest

Öffne in Nextcloud die Verwaltung der Apps und suche nach Collabora Online – Built-in CODE Server beziehungsweise richdocumentscode. Ist die App installiert, prüfe ihre Version. Aktualisiere sie auf mindestens 26.4.303; für unterstützte neuere Nextcloud-Versionen kann bereits eine neuere korrigierte Ausgabe angeboten werden. Wer die App nicht benötigt, sollte sie vollständig entfernen. Laut Hersteller reicht bloßes Deaktivieren nicht aus. Vor Eingriffen gehört ein getestetes Backup dazu.

Auf älteren Nextcloud-Versionen bis einschließlich 29 ist besondere Vorsicht nötig: Die korrigierte App-Version setzt mindestens Nextcloud 30 voraus. Hier empfiehlt der Hersteller ein Upgrade von Nextcloud oder die Entfernung der betroffenen App. Wer einen eigenständigen Collabora-Server einsetzt, sollte dessen Sicherheit unabhängig davon weiter pflegen; die Aussage „nicht betroffen“ bezieht sich ausschließlich auf CVE-2026-110447.

Praxis-Tipp: Die Abbildung zeigt die betroffene Nextcloud-Collabora-Komponente. Die Sicherheitslücke liegt nicht pauschal im Nextcloud-Kern und nicht im eigenständigen Collabora-Server.

Prüfung per Terminal: Nextcloud AIO und klassische Installation

Für erfahrene Administratoren: Die installierte App-Version lässt sich über Nextclouds occ-Kommando prüfen. Bei klassischen Installationen als Webserver-Benutzer ausführen, beispielsweise: sudo -u www-data php /var/www/nextcloud/occ app:list. Der Pfad ist installationsabhängig. Bei Docker/Nextcloud AIO den occ-Befehl ausschließlich im passenden Nextcloud-Anwendungscontainer und entsprechend der offiziellen AIO-Dokumentation ausführen; der Host-Befehl allein prüft keine Container-App.

Für eine erste Prüfung im AIO-Container kannst du – sofern dein Container nextcloud-aio-nextcloud heißt – den Befehl docker exec --user www-data nextcloud-aio-nextcloud php occ app:list verwenden. Kontrolliere den Containernamen vorher mit docker ps. Dies ist eine lesende Abfrage. Für Änderungen die Nextcloud-App-Verwaltung oder den dokumentierten Updateweg verwenden.

Wenn die App früher verwundbar war: Vor Bereinigungen Zugriffs- und Fehlerprotokolle sichern und nach ungewöhnlichen Aufrufen von /apps/richdocumentscode/proxy.php suchen. Unbekannte PHP-Dateien, insbesondere shx*.php, können Hinweise auf Webshells sein. Keine Dateien unüberlegt löschen, wenn eine forensische Untersuchung erforderlich ist.

Verdacht auf einen Angriff: Was prüfen?

Kontrolliere Nextclouds Integritätsprüfung und suche nach unbekannten PHP-Dateien im App-Verzeichnis. Berichte zu dieser Angriffswelle nennen insbesondere Dateinamen nach dem Muster shx*.php. In Webserver-Protokollen können ungewöhnliche Anfragen an /apps/richdocumentscode/proxy.php auffallen. Solche Hinweise sind Indikatoren und noch kein vollständiger Beweis. Bei konkretem Verdacht solltest du das System isolieren, Logs und Beweisdaten sichern und Zugangsdaten erst nach Bereinigung einer vertrauenswürdigen Installation erneuern.

Nextcloud AIO, Docker und Reverse Proxy: Wo liegt der Unterschied?

Nextcloud AIO und Docker machen eine Installation nicht automatisch immun. Entscheidend ist, ob die verwundbare Nextcloud-App installiert ist und welche Version tatsächlich läuft. Eine vorgeschaltete Firewall oder ein Reverse Proxy schützt nicht zuverlässig vor einer Schwachstelle in einer öffentlich erreichbaren Webanwendung. Der erste Schritt ist daher immer die Prüfung der Apps und des Patchstands. Extern erreichbare Dienste sollten zudem nur die notwendigen Ports anbieten und durch aktuelle Software, starke Passwörter und Zwei-Faktor-Authentifizierung abgesichert werden.

Nach dem Update: Fünf Punkte für die Abschlusskontrolle

1. App-Version erneut prüfen: richdocumentscode mindestens 26.4.303 oder vollständig entfernt. 2. Nextcloud-Administrationsübersicht auf Sicherheitswarnungen prüfen. 3. Dokumente öffnen, bearbeiten und speichern testen. 4. Webserver- und Nextcloud-Logs auf Fehler und verdächtige Anfragen prüfen. 5. Bei Anzeichen eines Einbruchs das System isolieren, Integrität untersuchen und Zugangsdaten beziehungsweise Tokens nach der Bereinigung erneuern.

Diese Schwachstelle ist unabhängig von den PHP2Shell-Sicherheitslücken. Wer sowohl Nextcloud mit Built-in CODE als auch eine betroffene PHP-Laufzeit betreibt, muss beide Komponenten separat aktualisieren. Weiterführende Notfallhilfe: https://www.luftpoet.de/post/php-sicherheitsluecken-2026-notfallupdate

Quellen, Einordnung und weitere Luftpoet-Artikel

Offizielle Sicherheitswarnung: Collabora Advisory GHSA-g3vx-3m76-fghh · Ergänzende Sicherheitsanalyse: Censys CVE-2026-110447 · App-Informationen: Nextcloud App Store · Weitere Luftpoet-Notfallhilfe: PHP-Sicherheitslücken 2026

Neugierig auf mehr?

Du willst deinen Homeserver langfristig sicher betreiben? Auf Luftpoet findest du weitere Anleitungen zu Linux, Proxmox und Self-Hosting sowie zur PHP2Shell-Notfallhilfe. Neue Sicherheitsmeldungen und Technikprojekte findest du regelmäßig im Luftpoet-Blog.