Nextcloud 内置 Collabora 应用曝出严重漏洞，已被用于植入网页后门

一个影响 Nextcloud 可选应用 Collabora Online – Built-in CODE Server 的严重漏洞正被积极利用。该漏洞编号为 CVE-2026-110447，CVSS 评分 9.2，允许攻击者在无需任何登录的情况下，在存在漏洞的服务器上执行操作系统命令。

据 BleepingComputer 和 The Hacker News 本周发布的报道，攻击者利用该漏洞在自建 Nextcloud 服务器上植入 PHP 网页后门。修复版本 26.4.303 已于 2026 年 9 月 11 日发布，但漏洞披露后仍出现了实际利用。这一事件也让自建协作平台加入了近期企业软件漏洞频发的名单。

漏洞影响范围

该应用把轻量级的 Collabora Online 开发版（CODE）实例直接打包进 Nextcloud 应用体系，管理员无需单独搭建外部服务器，就能让团队在浏览器内协同编辑文档。漏洞出在该应用处理代理请求和启动机制时构造操作系统命令的方式上。

受影响的是 richdocumentscode 26.4.302 及更早版本，且仅限这一内置应用。据引用厂商公告的报道，独立运行的 Collabora Online 服务器、基于 Docker 的 Collabora 部署、RPM 与 DEB 包安装方式以及 Nextcloud All-in-One（AIO）环境均不受该漏洞影响。若组织把 Collabora 作为独立服务运行，而非通过 Nextcloud 内置应用启用，则这一 CVE 不适用于其部署。

这一区分对管理员快速排查很重要，但并未大幅缩小实际暴露面。内置 CODE 应用之所以存在，正是因为它是为 Nextcloud 添加协同文档编辑功能最简便的方式，因而常被中小型组织、学校、非营利机构和自建爱好者采用，这些用户选择 Nextcloud 的初衷之一就是不必再为办公功能依赖第二台服务器。

攻击者做了什么

该漏洞的危险之处在于无需认证。通常的命令注入漏洞需要攻击者先持有有效凭据或被劫持的会话，影响范围因此受限；而据 BleepingComputer 报道，这一缺陷可直接针对应用的代理与启动逻辑触发，任何能访问到 Nextcloud 实例的远程攻击者都无需账号或会话，即可以内置 Web 服务器用户的身份执行任意命令。

取得命令执行能力后，攻击者的动作具有明显的持续性目的。报道称，他们利用该漏洞在受影响的 Nextcloud 服务器上植入 PHP 网页后门，从而获得可长期使用的入口，不必在每次访问时重新利用原始漏洞，简单的重启也不会使其失效。

网页后门只是起点。同一报道指出，攻击者在获得 shell 访问权限后，进一步在文件系统中搜索密码数据库、密码管理器导出文件以及加密货币钱包相关文件。这一目标选择更接近机会主义的牟利型入侵，而非针对特定行业的定向间谍活动；攻击者似乎在大范围扫描可找到的脆弱 Nextcloud 实例，再翻查其中出现的内容。已查阅的公开报道均未点名发动利用的威胁行为者或组织，也未给出补丁发布前被入侵服务器的确切数量。

披露与修复时间线

此后，BleepingComputer 与 The Hacker News 在本周发布的报道披露了该漏洞正被积极利用、攻击者借此植入网页后门的情况，SC World 与 protect.computer 亦作了跟进报道。

也就是说，修复版本先行发布，公开披露与实际利用随后出现，但披露之后仍出现了实际攻击。对于尚未升级到 26.4.303 的 richdocumentscode 用户而言，其实例仍处于可被未授权远程命令执行的风险之中。

近期漏洞潮背景

这一事件发生在企业软件厂商密集发布安全公告的时期。据报道，BeyondTrust、FortiMail、Palo Alto Networks、Ivanti、Cisco 和 SonicWall 均在近几周发布了严重级别公告，微软 10 月的补丁星期二单独覆盖了创纪录的 1413 个 CVE。

在这一背景下，Nextcloud 与 Collabora 的漏洞把自建协作平台加入了这份名单。与部分被归因于特定国家背景组织的零日漏洞不同，此次利用目前没有公开的归因信息，呈现为对已披露漏洞的通用型利用。

要点

• 漏洞编号 CVE-2026-110447，CVSS 评分 9.2
• 攻击者无需登录即可执行系统命令
• 受影响的是 richdocumentscode 26.4.302 及更早版本
• 修复版本 26.4.303 于 2026 年 9 月 11 日发布
• 攻击者植入 PHP 网页后门并搜索密码数据库等文件