NextcloudNextcloud 的「Collabora Online – Built-in CODE Server」應用程式（richdocumentscode）在內建 CODE 伺服器未執行時（例如剛重新啟動、升級或當機），未經驗證的攻擊者可透過 proxy.php 以網頁伺服器帳號執行系統指令。此漏洞自 2026 年 9 月起已遭實際利用，美國 CISA 已於 10 月 23 日列入已知遭利用漏洞清單（KEV）。獨立架設的 Collabora Online 伺服器不受影響，只有使用 Nextcloud 內建 CODE Server 應用程式的環境受影響。
影響版本
- Nextcloud 應用程式 Collabora Online – Built-in CODE Server（richdocumentscode）26.4.303 之前的版本
已修正版本
- richdocumentscode26.4.303 及之後版本需 Nextcloud 30 以上
建議處理方式
- 盡速將 richdocumentscode 應用程式更新至 26.4.303 或更新的版本；若不需要內建 CODE Server，直接移除此應用程式
- 原廠說明僅「停用」應用程式並不足以避免問題，必須更新或移除
- 仍在使用 Nextcloud 29 或更早版本（已停止支援）者，修正版不支援這些版本，須先升級 Nextcloud 或移除此應用程式
- 曾部署受影響版本且對外開放的主機，應調查非預期的 PHP 檔案與可疑存取紀錄；確認或懷疑遭入侵時依事件應變程序處理，並更換可能外洩的資料庫、應用程式等憑證（依公開受害案例與社群回報整理，非原廠所列步驟）
暫時無法更新時
- 無法立即更新時，應移除 richdocumentscode 應用程式；僅停用不足以排除風險
- 原廠確認獨立部署的 Collabora Online 不受本漏洞影響；改用獨立部署時，仍須更新或移除原有的 richdocumentscode 應用程式
如何確認是否受影響
- 以 occ app:list 或「應用程式」管理頁面確認是否安裝 richdocumentscode 及其版本
- 執行 Nextcloud 程式碼完整性檢查，留意 apps/richdocumentscode/ 目錄下是否有額外的 PHP 檔案（可作為調查方法，但不能作為排除入侵的唯一依據）
- 檢視可取得的歷史存取紀錄（至少涵蓋已有攻擊回報的 2026 年 9 月起），找出對 richdocumentscode/proxy.php?status 且含命令替換、異常編碼或目錄穿越特徵的請求，並與非預期 PHP 檔案的存取紀錄交叉比對；單純出現 proxy.php 請求不足以判定遭入侵，未發現相關紀錄也不能排除入侵
參考來源
Collabora Online GitHub Security Advisory GHSA-g3vx-3m76-fghhgithub.comNVD：CVE-2026-110447nvd.nist.govrichdocumentscode CHANGELOG（26.4.302 起需 Nextcloud 30 以上）github.comCISA Known Exploited Vulnerabilities：CVE-2026-110447www.cisa.govNextcloud 社群論壇：To Collabora Built-in user: update ASAPhelp.nextcloud.comrichdocumentscode Issue #354：受害者回報github.com
本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。