Nextcloud の Collabora Built-in CODE Server（richdocumentscode）で OS コマンドインジェクション（KEV・悪用確認）

Critical（CVSS 9.2）に分類されるCollabora Collabora Online - Built-in CODE Server（Nextcloud アプリ richdocumentscode・26.4.303 未満）の脆弱性です。**Nextcloud に文書編集機能を足すアプリ「Collabora Online - Built-in CODE Server」（richdocumentscode）に、認証なしで OS コマンドを実行される欠陥がある。** NVD によれば、26.4.303 より前の版で、CODE サーバーが動いていないとき（再起動直後など）に proxy.php でコマンドインジェクションが起きる。**単体で動かす Collabora Online サーバーは対象外**で、この組み込み型の配置だけが影響を受ける。 **悪用の状況。** NVD の記述は「2026年9月と10月に実際に悪用された」としている。開発元の GitHub（richdocumentscode issue #354）には9月11日から、`proxy.php?status` への細工したリクエストで `shx*.php` などの Web シェルが置かれたという複数の報告がある。開発元は9月14日に 26.4.303 で修正済みと回答した。CISA は2026年10月23日に KEV へ収載した（是正期限 **2026年10月26日**）。 **評価値。** CVSS は 4.0 の **9.2 Critical**（MITRE 採点・AV:N/AT:P/PR:N）のみで、CVSS 3.x の採点は無い。NVD の分析は Deferred（保留）。CVE-2025-66208 とは別の欠陥である。

**richdocumentscode を 26.4.303 以上へ上げる。使っていなければアプリごと外す。** 開発元の回答と NVD は 26.4.303 を修正版としている。richdocuments（Nextcloud Office）だけを使い、Docker やディストリビューションのパッケージで別に立てた Collabora Online につないでいる構成は対象外。 **侵害の確認（Nextcloud コミュニティの告知で推奨されている内容）。** 悪用は修正版の公開前から続いているので、更新しただけで終わりにしない。 - Nextcloud の整合性チェックで、アプリのディレクトリに身に覚えのない PHP ファイル（報告例は `shx*.php` や `Nx_*.php`）が無いか確かめる - Web サーバーのアクセスログで、9月10日ごろ以降の `proxy.php?status` への不審なリクエストを探す - 脆弱な版が動いていたなら、Web サーバーの実行ユーザーが読めた認証情報（データベースのパスワード、アプリパスワードなど）を入れ替える **完了条件**は、（1）richdocumentscode が 26.4.303 以上か削除済みであること、（2）Web シェルの有無とアクセスログを確認したこと、の2点である。

Collabora Collabora Online - Built-in CODE Server（Nextcloud アプリ richdocumentscode・26.4.303 未満） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-110447）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/26 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。