Nextcloud-Server über Schwachstelle in Collabora-App kompromittiert

Security · 14.10.2026

Angreifer nutzen eine Sicherheitslücke im integrierten CODE-Server von Collabora Online aus, um Nextcloud-Instanzen mit Web-Shells zu hinterlegen.

Eine kritische Sicherheitslücke in der optionalen Nextcloud-Erweiterung „Collabora Online - Built-in CODE Server“ wird derzeit von Angreifern aktiv ausgenutzt. Durch das Ausnutzen dieser Schwachstelle gelingt es den Akteuren, sogenannte Web-Shells auf den betroffenen Nextcloud-Servern zu platzieren. Erste Angriffe wurden bereits im September registriert, nachdem Administratoren verdächtige Aktivitäten auf GitHub meldeten und dokumentierten.

Warum ist das wichtig?

Nextcloud ist im DACH-Raum eine der am weitesten verbreiteten Lösungen für kollaboratives Arbeiten und selbst gehosteten Cloud-Speicher. Die Software wird sowohl von datenschutzbewussten Privatnutzern als auch in kleinen und mittleren Unternehmen sowie im öffentlichen Sektor intensiv genutzt. Die Integration von Collabora Online ermöglicht das direkte Bearbeiten von Office-Dokumenten im Browser und ist daher auf vielen Instanzen standardmäßig aktiv.

Gelingt es Angreifern, über eine solche App eine Web-Shell zu installieren, erhalten sie unbefugten Zugriff auf den Webserver. Dies gefährdet nicht nur die Vertraulichkeit aller gespeicherten Dokumente und Benutzerdaten, sondern kann auch als Sprungbrett für tiefergehende Angriffe auf das gesamte interne Unternehmensnetzwerk genutzt werden.

Was Nutzer jetzt tun sollten

Administratoren von Nextcloud-Instanzen sollten umgehend handeln und folgende Schritte durchführen:

• Version prüfen: Kontrollieren Sie, ob die App „Collabora Online - Built-in CODE Server“ (richdocumentscode) installiert und aktiv ist.
• Update einspielen: Aktualisieren Sie die App unverzüglich auf die neueste, vom Entwickler bereitgestellte Version, in der die Schwachstelle behoben wurde.
• System prüfen: Suchen Sie in den Server-Protokollen und im Nextcloud-Verzeichnis nach ungewöhnlichen PHP-Dateien oder verdächtigen Prozessen, um eine bereits erfolgte Kompromittierung auszuschließen.
• Deaktivierung erwägen: Falls die integrierte Collabora-Anwendung aktuell nicht zwingend benötigt wird, sollte sie bis zur vollständigen Klärung und Absicherung deaktiviert werden.

Fazit

Der Vorfall verdeutlicht erneut, dass das Sicherheitsrisiko moderner Plattformen häufig in den installierten Erweiterungen liegt. Ein konsequentes Patch-Management und die regelmäßige Überprüfung aller aktiven Add-ons sind für IT-Verantwortliche im DACH-Raum unerlässlich, um die Integrität ihrer On-Premises-Infrastruktur zu wahren.

Quelle: The Hacker News