Nextcloud ist für viele Betriebe die eigene Dateiablage: Ordner teilen, Dokumente gemeinsam bearbeiten, ohne die Daten einem grossen Anbieter zu überlassen. Für das Bearbeiten von Dokumenten im Browser gibt es eine Zusatz-App, «Collabora Online – Built-in CODE Server». Sie bringt eine kleine Office-Umgebung gleich mit, ohne dass man dafür einen eigenen Server einrichten muss.
In dieser App steckt eine Lücke, über die sich ohne Anmeldung Befehle auf dem Server ausführen lassen. Sie trägt die Kennung CVE-2026-110447 und wird mit 9,2 von 10 bewertet. Angreifer haben sie ausgenutzt, versteckte Zugänge auf den Servern abgelegt und dort gezielt nach Passwortdatenbanken, Spuren von Passwortmanagern und Kryptowallets gesucht.
Der Monat dazwischen
Bemerkenswert ist der Ablauf. Die Korrektur erschien am 11. September in Version 26.4.303 der App. Den Sicherheitshinweis dazu gab es erst am 14. Oktober. Betreiber berichten von Angriffen ab Mitte September, einzelne Funde reichen bis zum 10. September zurück.
Daraus folgt eine unbequeme Rechnung. Wer im September die angebotenen App-Updates eingespielt hat, ohne nach einem Grund zu fragen, war geschützt und wusste es nicht einmal. Wer auf eine Warnung gewartet hat, bevor er etwas anfasst, stand einen Monat lang offen.
Updates einzuspielen, sobald sie da sind, ist kein Übereifer. Es ist die einzige Gewohnheit, die vor Lücken schützt, die noch niemand gemeldet hat. Wie leicht ein verfügbares Update unbemerkt liegen bleibt, haben wir letzte Woche an unserem eigenen Server beschrieben.
Abschalten reicht nicht
Der zweite Punkt ist noch weniger offensichtlich. Der Hersteller schreibt ausdrücklich: Die App zu deaktivieren genügt nicht. Angreifbar ist sie sogar gerade dann, wenn der eingebaute Office-Server nicht läuft, etwa nach einem Neustart, einem Update oder einem Absturz.
Eine App, die abgeschaltet in der Liste steht, wirkt erledigt. Ihre Dateien liegen aber weiter auf dem Server. Schützen hilft hier nur das Update auf 26.4.303 oder neuer oder das vollständige Entfernen der App.
Nicht betroffen ist, wer Collabora als eigenständigen Server betreibt, als Docker-Installation oder über die Fassung «Nextcloud All-in-One». Es geht ausschliesslich um diese eine eingebaute App.
Was die Angreifer suchten
Dass gezielt nach Passwortdatenbanken gesucht wurde, sollte gerade kleinere Betriebe aufhorchen lassen. Eine gemeinsame KeePass-Datei in der Nextcloud ist eine verbreitete und eigentlich vernünftige Lösung: Alle haben Zugriff, und die Datei ist verschlüsselt.
Verschlüsselt heisst aber nur, dass ein Angreifer die Datei nicht sofort lesen kann. Wer sie kopiert hat, kann in Ruhe das Hauptpasswort erraten, ohne dass das irgendwo auffällt. Wie lange das dauert, hängt allein an diesem einen Passwort.
Was zu tun ist
Nachsehen, ob die App installiert ist. In Nextcloud unter Apps, auch in der Liste der deaktivierten. Gesucht ist «Collabora Online – Built-in CODE Server».
Aktualisieren oder entfernen. Version 26.4.303 oder neuer. Wer die Bearbeitung im Browser nicht braucht, entfernt die App ganz.
Nach fremden Dateien suchen. Die abgelegten Zugänge sind PHP-Dateien. PHP-Dateien im Nextcloud-Verzeichnis, die seit Anfang September dazugekommen sind und zu keinem Update gehören, sind ein Alarmzeichen. Das lässt sich nicht im Browser prüfen, dafür braucht es Zugang zum Server oder den Hoster.
Bei einem Fund die Passwörter wechseln. Nicht nur das Hauptpasswort der Passwortdatenbank, sondern die Passwörter, die darin stehen. Wer die Datei hatte, hat womöglich Zeit gehabt.
Auf unseren eigenen Webservern läuft keine Nextcloud, wir haben nachgesehen. Wer Nextcloud selbst betreibt oder von jemandem betreiben lässt, sollte diese Woche nachfragen.