概要
Nextcloudに組み込まれるオンラインオフィススイートCollabora Online(CODEサーバー、richdocumentscodeアプリ)に存在する重大な未認証リモートコード実行(RCE)脆弱性CVE-2026-110447が、9月10日頃から悪用され、被害サーバーにPHP製のWebシェルが設置されていたことが明らかになった。この脆弱性は認証不要で、proxy.phpエンドポイントに悪意あるリクエストを送信することでOSコマンドインジェクションを引き起こすというもので、組込CODEサーバーが停止状態にある環境が標的となる。影響を受けるのはバージョン26.4.303未満で、修正版自体は9月11日に公開されていた。
パッチ公開からCVE公開まで1カ月の空白
この事案で特に問題視されているのが、修正パッチの公開(9月11日)とCVE番号の正式公開(10月14日)との間に約4週間の時間差が生じた点だ。この間、脆弱性の存在は一般に広く周知されておらず、管理者がアップデートの緊急性を認識する手段が乏しかった。結果として攻撃者はこの「周知前の空白期間」を利用し、9月10日頃から修正版リリースの前後を跨いで悪用を継続。多くの管理者が脅威の実態を把握する前にサーバーへの侵入を許してしまった。これはCVE公開の遅延がパッチ適用の遅れと直結し、実害につながる典型的なケースといえる。
侵害後の活動と被害範囲
侵入に成功した攻撃者は、サーバー上にPHPウェブシェルを設置して持続的なアクセス経路(バックドア)を確保したうえで、パスワードデータベースやパスワードマネージャーのデータ、暗号資産ウォレットを探索していたことが確認されている。一部のユーザーからはランサムウェアによる被害報告も上がっているが、これについては現時点で確証が得られていない。NextcloudはファイルホスティングやコラボレーションツールとしてCollabora Onlineと連携し、ドキュメントの共同編集機能を提供する構成で広く利用されているため、攻撃対象となったサーバーには業務上重要なデータが保存されていた可能性が高い。
推奨される対応
管理者に対しては、richdocumentscodeアプリをバージョン26.4.303以上へ速やかにアップグレードすることが求められる。該当機能を利用していない場合は、単にアプリを無効化するだけでは不十分であり、アプリ自体を削除することが推奨されている。すでに侵害の兆候がないか、proxy.phpへのアクセスログや不審なPHPファイルの有無を確認することも重要だ。今回の事例は、パッチが先行してもCVE公開や注意喚起が遅れることで現実の悪用を許してしまうという、脆弱性開示プロセスそのものの課題を浮き彫りにしている。