Een kritieke kwetsbaarheid in de ingebouwde Collabora Online-component van Nextcloud wordt al sinds half september actief misbruikt om servers van een backdoor te voorzien. De fout, geregistreerd als CVE-2026-110447, zit in de optionele app “Collabora Online - Built-in CODE Server” (richdocumentscode), waarmee beheerders documentbewerking rechtstreeks in Nextcloud inbouwen zonder een losse Collabora-server op te zetten.
Een kwaadwillend verzoek naar het proxy.php-endpoint van de app leidt tot os-command injection, zonder dat daarvoor authenticatie of enige actie van een gebruiker nodig is. De fout is alleen bruikbaar op het moment dat de ingebouwde CODE-server niet draait, bijvoorbeeld vlak na een herstart, een update of een crash. Alleen deze specifieke, optionele app is getroffen: zelfstandige Collabora Online-installaties, de Docker- en RPM/DEB-pakketten en Nextcloud All-in-One lopen volgens Collabora geen risico.
Aanvallers die de fout misbruiken plaatsen een PHP-webshell en doorzoeken servers vervolgens naar wachtwoorddatabases, sporen van wachtwoordmanagers en cryptowallets. Of de kwetsbaarheid ook door ransomware-groepen wordt ingezet, is niet bevestigd.
Opvallend is de tijdlijn. Collabora committete de fix op 9 september, maar beheerders meldden de eerste aanvallen al op 10 september, een dag vóór de officiële release van versie 26.4.303 op 11 september. Pas op 3 oktober waarschuwde de community breder dat er actief misbruik gaande was, en het beveiligingsadvies met bijbehorende CVE verscheen uiteindelijk pas op 14 oktober, ruim vier weken na de fix. Collabora wijt die vertraging aan achterstanden bij de CVE-registratie via GitHub, die volgens het bedrijf onder druk staat door de toenemende stroom aan AI-gegenereerde beveiligingsmeldingen.
Beheerders die de app gebruiken, moeten updaten naar versie 26.4.303 of nieuwer. Is de ingebouwde CODE-server niet nodig, dan adviseert Collabora de app te verwijderen; alleen uitschakelen is onvoldoende om het risico weg te nemen.
Nextcloud draait bij veel Nederlandse gemeenten, onderwijsinstellingen en zorgorganisaties die hun documentomgeving zelf hosten, vaak juist vanwege de ingebouwde documentbewerking die deze kwetsbare app levert. Controleer dus niet alleen of de Nextcloud-kern is bijgewerkt, maar specifiek of de “Built-in CODE Server”-app op de nieuwste versie staat, en loop bij self-hosted omgevingen na of er al een webshell is geplaatst, zeker als de server de afgelopen weken ooit opnieuw is opgestart.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Gebruikt u de app 'Collabora Online - Built-in CODE Server' in Nextcloud? Update per direct naar versie 26.4.303, controleer of de server de afgelopen weken is herstart of bijgewerkt (het moment waarop misbruik mogelijk is) en doorzoek de omgeving op onbekende PHP-webshells.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.