Sicherheitswarnungen · 23. Oktober 2026
Nextcloud: Eingebauter Office-Server wird für Hintertüren auf Cloud-Servern genutzt
Über eine Lücke in der eingebauten Office-App von Nextcloud können Angreifer ohne Anmeldung Befehle auf dem Server ausführen. Die Lücke wird seit September ausgenutzt.
Worum es geht
Nextcloud App „Collabora Online – Built-in CODE Server“
Viele Firmen betreiben Nextcloud als eigene Dateiablage und bearbeiten Dokumente direkt im Browser. Dafür gibt es eine Zusatz-App, die einen kleinen Office-Server gleich mitbringt. Genau diese App enthält einen Fehler: Ein Angreifer kann über eine bestimmte Adresse ohne Konto Befehle auf dem Server starten. Voraussetzung ist, dass der eingebaute Office-Server gerade nicht läuft, etwa nach einem Neustart, einem Update oder einem Absturz.
Die Angreifer legen laut Fachmedien kleine Steuerprogramme (sogenannte Web-Shells) im App-Ordner ab und suchen danach nach Kennwörtern und Zugangsdaten. Die ersten Angriffe gab es schon im September, also Wochen vor der offiziellen Warnung. Die US-Behörde CISA führt die Lücke seit 23. Oktober als aktiv ausgenutzt.
Nicht betroffen sind eigenständig betriebene Collabora-Server, etwa als Docker-Container oder Systempaket. Das bloße Deaktivieren der App reicht laut Hersteller nicht aus.
Betroffen
- Nextcloud App richdocumentscode (Built-in CODE Server) bis Version 26.4.302
Behoben
- richdocumentscode 26.4.303 oder neuer
Was jetzt zu tun ist
Die nächsten Schritte.
- 01
In der Nextcloud-App-Verwaltung prüfen, ob die App „Collabora Online – Built-in CODE Server“ installiert ist.
- 02
Falls ja: auf Version 26.4.303 oder neuer aktualisieren oder die App vollständig entfernen, nicht nur deaktivieren.
- 03
Im App-Ordner apps/richdocumentscode nach fremden PHP-Dateien suchen, deren Name mit „shx“ beginnt, und diese entfernen lassen.
- 04
Die Webserver-Protokolle seit September auf auffällige Zugriffe auf die Datei proxy.php prüfen.
- 05
Bei Hinweisen auf einen Einbruch alle Kennwörter und Schlüssel erneuern, die auf dem Server gespeichert sind, und den Server aus einer sauberen Sicherung wiederherstellen.
Unterstützung
Unsicher, ob Sie betroffen sind?
Wir prüfen Ihre Systeme, spielen die Updates ein und suchen nach Spuren eines Angriffs. Sie bekommen eine klare Antwort: betroffen oder nicht. Betreuungskunden müssen nichts tun, wir kümmern uns bereits darum.
Veröffentlicht am 23. Oktober 2026. Grundlage: BleepingComputer · CISA · WZ-IT. Von uns in eigenen Worten zusammengefasst; verbindlich sind die Hinweise des Herstellers. Alle Sicherheitswarnungen
Passend dazu