Aktualisieren Sie die "Collabora Online - Built-in CODE Server"-App sofort auf Version 26.4.303 oder höher.
▸▾Herleitung der Bewertung(3)
Wie der Wert zustande kommt
- Hoechster CVSS-Basiswert 9.8+18
- Wird laut Meldung tatsaechlich ausgenutzt: exploited in the wild, in the wild+12
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2025-66208, CVSS-Vektor AV:N/PR:N)+10
Woraus sich die Konfidenz ergibt
- 3 unabhaengige Herausgeber berichten den Sachverhalt
- Darunter eine behoerdliche Primaerquelle
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Fuer 1 erkannte CVE(s) liegt noch kein CVSS-Basiswert vor (NVD-Rueckstau).
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Hackers Backdoor Nextcloud Servers Through Critical Flaw in Collabora’s Built-in CODE App
Angreifer nutzten eine kritische Schwachstelle (CVE-2026-110447) in der Nextcloud-App "Collabora Online - Built-in CODE Server", um Web-Shells auf Servern zu platzieren. Betroffen sind Nextcloud-Installationen, die diese App in Versionen vor 26.4.303 nutzen, insbesondere für lokale Tests oder kleine Teams. Administratoren sollten die App umgehend auf Version 26.4.303 oder höher aktualisieren oder sie vollständig entfernen, da Deaktivieren nicht ausreicht.
SecBoard-Einordnung
Die Schwachstelle ermöglicht Angreifern die Installation von Web-Shells, was zu unautorisierter Befehlsausführung und potenziell vollständiger Systemkompromittierung führen kann. Dies stellt ein erhebliches Risiko für die Datenintegrität und -vertraulichkeit dar.
Realistisch schlimmster Fall: Vollständige Kompromittierung des Nextcloud-Servers durch die Installation von Web-Shells, was Angreifern die Ausführung beliebiger Befehle und den Zugriff auf sensible Daten ermöglicht.
Empfehlung: Aktualisieren Sie die "Collabora Online - Built-in CODE Server"-App sofort auf Version 26.4.303 oder höher. Falls die App nicht benötigt wird, entfernen Sie sie vollständig, da ein bloßes Deaktivieren nicht ausreicht.
Key Facts
- CVSS
- 9.8 · CRITICAL
- EPSS
- 1.1%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- Patch
- unbekannt
- Zuweisende CNA
- security-advisories@github.com
- CVSS
- unbekannt
- EPSS
- 1.2%
- Über das Netz
- unbekannt
- Anmeldung nötig
- unbekannt
- Nutzerinteraktion nötig
- unbekannt
- Angriffskomplexität
- unbekannt
- Beeinträchtigt
- unbekannt
- Patch
- unbekannt
- Zuweisende CNA
- cve@mitre.org
Betroffen
Nextcloud-Installationen, die die App "Collabora Online - Built-in CODE Server" in Versionen vor 26.4.303 verwenden, insbesondere für lokale Tests oder kleine Teams.
Hersteller
Produkte
▸ CPE-Rohbezeichner anzeigen▾ CPE-Rohbezeichner ausblenden (1)
- cpe:2.3:a:collabora:online:*:*:*:*:*:*:*:*
Prüfen
3- ▸Überprüfen Sie die Version der "Collabora Online - Built-in CODE Server"-App in Ihrer Nextcloud-Installation. Stellen Sie sicher, dass diese 26.4.303 oder höher ist.
- ▸Suchen Sie in Ihren Server-Logs nach Anzeichen für die Installation von Web-Shells oder unautorisierter Befehlsausführung, insbesondere wenn der lokale Dokumentenserver nicht verfügbar war.
▸ 1 weitere▾ weniger
- ▸Stellen Sie sicher, dass nicht benötigte Anwendungen vollständig deinstalliert und nicht nur deaktiviert sind.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, welche spezifischen Befehle über die Web-Shells ausgeführt werden können.
- ▸Der genaue Mechanismus der Ausnutzung, wenn der lokale Dokumentenserver nicht verfügbar ist, ist nicht detailliert beschrieben.
- ▸Die Identität der Angreifer oder ihre Motivation ist nicht spezifiziert.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Ja
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Können wir Persistence detektieren?
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„um Web-Shells auf Servern zu platzieren“
„ermöglicht unauthentifizierte Befehlsausführung“
„Angreifer nutzten eine kritische Schwachstelle (CVE-2026-110447) in der Nextcloud-App "Collabora Online - Built-in CODE Server"“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
0
Ausnutzung
0
Einnistung
1
Fernsteuerung
0
Zielhandlung
0
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- The Hacker NewsKontextHackers Backdoor Nextcloud Servers Through Critical Flaw in Collabora’s Built-in CODE App
- BleepingComputerKontextHackers exploit Collabora RCE flaw to backdoor Nextcloud servers
- CERT-BundPrimärbeleg[NEU] [kritisch] Collabora Online Built-in CODE Server (NextCloud): Schwachstelle ermöglicht Ausführen von beliebigem Programmcode mit Benutzerrechten
Der Vorgang wird seit 5 Tagen berichtet.
Quellen & Belege· 3 unterschiedliche Quellen
Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile
ATT&CK-Heatmap