北京
一个评分9.2的漏洞，正在被真实利用。安全研究人员确认，攻击者正利用Collabora Online内置CODE Server应用中的严重缺陷，入侵Nextcloud服务器，并已在受害机器上发现Web Shell。
该漏洞编号为CVE-2026-110447，允许远程攻击者在未登录的情况下执行操作系统命令。受影响的是richdocumentscode应用26.4.303之前的版本，CVSS v4评分高达9.2。
GitHub Advisory Database的记录显示，攻击者在2026年9月和10月期间利用了该漏洞。10月3日，Nextcloud社区论坛上出现警告，称有用户在自己的服务器上发现了Web Shell。
这类恶意脚本能让攻击者在初次入侵后继续执行命令、维持访问权限。目前公开的报告尚未指明具体攻击团伙，也没有说明有多少台服务器被攻破。
漏洞藏在哪
问题出在proxy.php，这是应用的一部分，作用是在Nextcloud部署内部运行Collabora内置文档服务器。根据Collabora的安全公告，一个精心构造的请求可以导致服务器以Web服务器用户的身份执行操作系统命令。该问题被归类为CWE-78，即操作系统命令注入。
攻击者不需要账号，也不需要用户交互。但利用该漏洞有一个重要前提：当恶意请求到达存在漏洞的代码时，内置CODE Server必须没有在运行。这种情况可能发生在容器重启、升级或崩溃之后，等于在例行维护期间打开了一个攻击窗口。
命令以Web服务器账号的权限运行，不会自动获得root权限。即便如此，GitHub公告仍将潜在影响评为高，涉及数据隐私、文件完整性和服务可用性。已报告的Web Shell事件说明，受影响的管理员不能只把它当成一次软件更新任务。
影响范围与修复
该问题影响的是Collabora Online内置CODE Server应用，而非所有Nextcloud或Collabora安装。独立的Collabora Online服务器不受影响。
Collabora同时确认，这是与CVE-2025-66208不同的攻击路径，安装此前漏洞的修复程序并不能阻止本次利用。与凭据窃取类攻击不同，这次攻击不需要任何被盗密码。
管理员应将richdocumentscode升级到26.4.303或更高版本，或者直接移除该应用。仅关闭应用并不能阻止利用。根据Collabora的说法，运行已停止维护的Nextcloud 29或更早版本的用户，应升级Nextcloud或移除受影响的应用。
对于此前已暴露的系统，社区警告还建议检查是否存在异常的PHP文件。更新能关闭存在漏洞的入口，但不应被视为已清除现有Web Shell的证据。已报告的入侵事件说明，在打补丁之后，检查入侵痕迹是一项重要的后续动作。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
