【緊急】Nextcloud「Collabora Online - Built-in CODE Server」CVE-2026-110447：26.4.303以上へ更新か削除を（CVSS v4.0 9.2）— 悪用が確認済み、アプリを無効にするだけでは足りない

Nextcloudに入れる文書編集アプリ「Collabora Online - Built-in CODE Server」（richdocumentscode）に、認証なしで、Webサーバーの権限でOSコマンドを実行される脆弱性が見つかっています。CVE-2026-110447です。ベンダーのアドバイザリは、2026年9月から10月に実際の攻撃で悪用されたと書いています。CISAは10月23日にKEV（悪用が確認された脆弱性のカタログ）へ追加しました。

対象は、richdocumentscodeが26.4.303より前のNextcloudです。修正版は26.4.303で、この記事の時点の最新リリースは26.4.502（10月23日）です。重要なのは、アプリを「無効」にするだけでは防げないことです。アドバイザリは、26.4.303以上へ更新するか、アプリを削除するよう求めています。

標準の「Collabora Online」サーバーを別に立てている構成は、対象外です。対象は、NextcloudのアプリとしてCODEサーバーを内蔵する構成だけです（ベンダー）。

このスコアの出どころを明記します。9.2はCVSS v4.0の値で、ベクタは `CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N`（ネットワークから・認証不要・ユーザー操作不要）です。NVDには採番側（MITRE）が付けた値が載り、ベンダーのGitHubアドバイザリにも同じ9.2があります。NVD自身のスコアは、2026年10月24日の更新時点でも付いていません（状態は「Deferred」）。v3系のスコアは見つかりませんでした。弱点の種類はCWE-78（OSコマンドインジェクション）です。

条件に「AT:P（攻撃に前提条件がある）」とあります。攻撃が成り立つのは、内蔵のCODEサーバーが動いていない間です。アドバイザリは例として、コンテナの再起動・アップグレード・クラッシュの後を挙げています。

今すぐ行う対策

• ✓★自分のNextcloudに「Collabora Online - Built-in CODE Server」(richdocumentscode)が入っているかを確認する。管理画面のアプリ一覧で見られます。入っていて、26.4.303より前なら対象です。「Collabora Online」(richdocuments)だけで、内蔵サーバーを使わない構成は、この脆弱性の対象として挙げられていません
• ✓26.4.303以上へ更新する。最新は26.4.502です（10月23日）。無効化では防げません。更新するか、アプリごと削除してください（アドバイザリ）
• ✓更新の前に、すでに侵入されていないかを調べる。ベンダーのアドバイザリには痕跡（IoC）が載っていません。一般ユーザーの報告では、アプリのフォルダ（apps/richdocumentscode）に、見覚えのないPHPファイル（`shrf4645.php`、`shxa35d0.php`、`Nx_33143.php` の名前が報告されています）が置かれ、Webシェル（外から命令を送れる裏口）として使われていました。名前は攻撃ごとに違うので、名前が合わなくても、見覚えのないPHPファイルは疑ってください（当サイトの補足）
• ✓アクセスログに、不審な呼び出しがないかを見る。GitHubの報告では、攻撃は `/apps/richdocumentscode/proxy.php?status` を狙い、URLに `$(`、`${IFS}`、`%2e%2e`（エンコードされた「..」）を含んでいました。9月10日ごろからのログが調べる対象です（利用者の報告）
• ✓侵入の疑いがあれば、Webサーバーの権限で読めたものを変える。データベースのパスワード、設定ファイルにある秘密情報、アプリのパスワードなどです（当サイトの補足）。事業で使うサーバーは、専門の事業者に調査を依頼することをお勧めします
• ✓EOLのNextcloud（バージョン29以下）を使っているなら、Nextcloud自体の更新か、このアプリの削除をする。アドバイザリが求めています
• ✓更新後は、Nextcloudの「整合性チェック」で、アプリに余計なファイルがないかも見る（当サイトの補足）。一般ユーザーは、更新後の整合性スキャンに余分なPHPファイルが出て気付いたと報告しています

何が起きるのか

• ▸場所と種類：アプリの `proxy.php` に、OSコマンドインジェクション（CWE-78）があります。認証なしのリクエストで、Webサーバーのユーザー権限のOSコマンドが実行される可能性があります（ベンダー）
• ▸CVE-2025-66208とは別の脆弱性です。アドバイザリは、以前のCVEの修正では、今回の問題は防げないと書いています
• ▸悪用の状況：ベンダーは「2026年9月と10月に悪用された」と書きます。CISAの評価（NVDに記録）は、悪用が「active」、自動化が「yes」、技術的影響が「total（全面的）」です。ランサムウェアでの使用は、KEVの欄で「Unknown（不明）」です
• ▸CISAの対応期限は10月26日で、フォレンジック調査（forensic triage）も求められています。米国の連邦機関に課された条件で、日本の組織を拘束しませんが、更新だけでなく侵入の調査まで求められているという目安になります

何が起きたか（日付つき）

• ▸9月10日ごろ：GitHubの報告者が、自社のNextcloudサーバーで攻撃を確認した時期です（9月11日に投稿された報告。利用者の報告）
• ▸9月11日：修正版の26.4.303が公開されました（GitHubのリリース）
• ▸10月3日：Nextcloudのフォーラムで、利用者が「CVEはまだ出ていないが、悪用されている」と注意を呼びかけました（利用者の投稿）
• ▸10月14日：CVE-2026-110447とベンダーのアドバイザリ（GHSA）が公開されました
• ▸10月23日：CISAがKEVに追加。同日に、最新の26.4.502が公開されました

確認できなかったこと

• ▸ベンダー公式の痕跡（IoC）。アドバイザリには載っていません。この記事に書いたファイル名・URLの特徴は、一般ユーザーの報告で、全ての攻撃に当てはまるとは限りません
• ▸誰が、どれだけの規模で攻撃しているか。公的機関やベンダーは、被害の数を公表していません
• ▸NVDの独自スコアとv3系のスコア。2026年10月24日の更新時点で、NVDは評価を終えていません
• ▸更新・削除以外の回避策。アドバイザリは「CODEサーバーが動いていないとき」に成り立つとしますが、ほかに確実に避ける方法は示していません

共有するならこの3行

• ▸Nextcloudの「Collabora Online - Built-in CODE Server」(richdocumentscode)が26.4.303より前だと、認証なしでOSコマンドを実行される（CVE-2026-110447・CVSS v4.0 9.2）。悪用が確認され、10月23日にCISAもKEVへ追加した
• ▸★アプリを「無効」にするだけでは防げない。26.4.303以上へ更新するか、削除する。その前後に、アプリのフォルダに見覚えのないPHPファイルがないか確認する
• ▸侵入されていたら、Webサーバーが読めたパスワードなどを変える。事業用のサーバーは、専門の事業者に調査を頼む