Nextcloud向けCollabora内蔵アプリに重大な脆弱性、サーバーへの不正侵入被害が確認される

要点

• Nextcloudのオフィス文書編集アプリ「Collabora Online - Built-in CODE Server」に、認証を経ずに任意コマンドを実行できる重大な脆弱性が判明した。

• 攻撃者はこの欠陥を突いてサーバー上にWebシェルを設置し、認証情報や暗号資産ウォレットの探索を行っていたことが明らかになった。

• 本脆弱性はサーバー停止時などの限られた状況でのみ悪用可能だが、管理画面でアプリを無効化するだけでは攻撃を防ぐことができない。

• 開発元のCollaboraは修正版となるバージョン26.4.303を公開し、アプリの速やかな更新または完全な削除を呼びかけている。

• オンラインストレージプラットフォーム「Nextcloud」向けに提供されているオフィス文書編集アプリにおいて、リモートから任意のコマンドを実行できる重大な脆弱性が悪用され、複数のサーバーに不正なWebシェルが設置されていたことが明らかになった。ソフトウェア開発元のCollaboraは2026年10月14日、本脆弱性に関するセキュリティアドバイザリ（CVE-2026-110447）を公開した。すでに2026年9月中旬から実際の攻撃事例が観測されており、運用者の間で被害の報告が相次いでいる。

脆弱性の仕組みと攻撃が成立する条件

被害が報告されたのは、CollaboraがNextcloud向けに提供するオプション機能「Collabora Online - Built-in CODE Server」（パッケージ名：richdocumentscode）だ。独立したサーバーを別途構築することなく、Nextcloudが動作するサーバー上でドキュメント編集機能「Collabora Online Development Edition（CODE）」を実行できる拡張機能であり、主に個人利用や小規模チーム、ローカルテスト向けとして提供されている。

問題の原因となったのは、アプリ内に含まれる「proxy.php」スクリプトの処理である。このスクリプトは、アクセス要求が届いた際にドキュメントサーバーが待機状態でなければ、ローカルのCODEサーバーを自動起動する役割を持っていた。しかしバージョン26.4.302までの実装では、受信したリクエストのパスを含む文字列をダブルクォートで囲ったbashコマンド内にそのまま展開していたため、シェルのコマンド置換構文である「$()」を悪用したコマンド実行が可能になっていた。

攻撃はWebサーバーの実行アカウント権限で行われる。スクリプトがコマンドを生成するのはサーバー起動時のみであるため、コンテナの再起動中やアップグレード中、障害による停止時など、ドキュメントサーバーが稼働していない特定のタイミングでのみ攻撃が成立する。

また、proxy.phpはNextcloud自体の認証やコードを介さず、Webサーバーがアプリフォルダから直接実行する構造となっている。そのため、ログイン認証を経由せずにリクエストを受け付けてしまう。攻撃者はこれを利用し、Webリクエスト経由で任意の命令を実行できる小さな不正プログラム「Webシェル」をサーバー内に送り込んでいた。

確認された攻撃手法と侵害の実態

発覚の契機は、複数のNextcloudサーバーを管理する運用者がGitHub上で被害を報告したことだった。アクセスログによると、最初の攻撃は2026年9月10日の19時51分（UTC+2）に記録され、翌9月11日にも同一IPアドレスからアクセスがあった。攻撃はいずれも「proxy.php?status」を狙い、リクエストパスにシェルコマンドを隠蔽していた。対象サーバーではいずれもバージョン26.4.302が稼働していたという。

実行されたコマンドは、1行のPHP製Webシェルをアプリフォルダ内に展開し、OS情報を取得する「uname -a」の実行結果を外部サービス（webhook.site）へ送信しようとするものだった。その後、攻撃者は配置したWebシェルを用いてサーバー内部の探索を行い、KeePassのデータベース（*.kdbx）や暗号資産ウォレット（wallet.dat、keystore.json）、Bitwardenや1Password、Bitcoin、Electrum、Monero、Ethereumなどの関連ファイルを検索していた。

ログ上ではファイルのアーカイブ化や外部への持ち出しを行うコマンドは確認されなかったが、管理者はWebサーバー権限で読み取り可能なすべてのデータについて漏洩リスクを考慮すべきとしている。さらに他の管理者2名からも同様の報告があり、Nextcloudの整合性チェックや管理者権限昇格（sudo）の失敗通知メールによって発覚した。いずれの事例でもルート（最高権限）の奪取は確認されていない。

影響範囲と求められる対策

Collaboraのアドバイザリによると、影響を受けるのはバージョン26.4.303より前のrichdocumentscodeアプリだ。一方、DockerやLinuxパッケージ等で独立して稼働するスタンドアロン型のCollabora Onlineサーバーや、接続用アプリ（richdocuments）のみを使用している環境は影響を受けない。

注意すべき点として、開発元は管理画面でアプリを無効化するだけでは問題を回避できないと警告している。ファイルが存在する限りWebサーバーから直接実行できるため、バージョン26.4.303以降への更新か、アプリ自体の完全な削除が必要となる。また、修正版の利用にはNextcloud 30以降が必須であり、サポート終了済みのNextcloud 29以前では脆弱な版が配信され続けるため、Nextcloud本体の更新またはアプリの削除が求められる。2025年12月に開示された同スクリプトの別脆弱性（CVE-2025-66208）への修正では、今回の問題は防げないという。

修正版の適用後となる9月14日にも同様の攻撃試行が確認されたが、新たなWebシェルは生成されなかった。プロジェクト担当者のmmeeks氏はログについて「見た目は危険に見えるが無害」とし、速やかな更新と残存する「shx*.php」ファイルの削除を促している。なお、これまでに被害を受けたサーバーの総数は明らかになっていない。