Webshells auf Nextcloud-Servern: Was der Collabora-Angriff für die Sicherheit Ihres Cloud-Speichers bedeutet

Veröffentlicht: 26. Oktober 2026 · Lesezeit: ca. 7 Minuten

Ein kompromittierter Webserver kostet einen mittelständischen Betrieb im Schnitt zwischen 15.000 und 50.000 Euro – gerechnet aus Incident-Response-Aufwand, Wiederherstellungszeit und dem Produktivitätsausfall der betroffenen Teams. Hinzu kommen mögliche DSGVO-Meldepflichten, die bei bestätigtem Datenzugriff innerhalb von 72 Stunden gegenüber der zuständigen Aufsichtsbehörde erfüllt werden müssen. Diese Zahlen gelten für Angriffe, die schnell entdeckt werden. Webshells, wie sie in diesem Fall eingesetzt wurden, bleiben oft wochenlang unbemerkt – und jede Woche erhöht den Schaden erheblich.

Wer Nextcloud mit der integrierten Collabora-App selbst betreibt, sollte jetzt nicht erst auf eine Benachrichtigung warten: Die Angriffswelle läuft aktiv, und das Zeitfenster zwischen erstem Exploit und Patch-Veröffentlichung betrug in diesem Fall mehr als einen Monat.

Die Nextcloud Sicherheitslücke Webshell rund um CVE-2026-110447 ist kein theoretisches Risiko: Angreifer haben die Schwachstelle in der App „Collabora Online – Built-in CODE Server“ (richdocumentscode) aktiv ausgenutzt, um PHP-Webshells auf Nextcloud-Installationen zu platzieren und darüber dauerhaften Zugriff auf Serversysteme zu erlangen. Der CVSS-Score liegt bei 9,2 von 10 – das entspricht dem höchsten Ende der Kategorie „Kritisch“.

Für Betriebe, die Nextcloud als selbst betriebene Collaboration-Plattform einsetzen, ergibt sich daraus konkreter Handlungsbedarf: nicht nur ein Patch, sondern eine vollständige Prüfung auf bereits platzierte Hintertüren. Ein Update schließt die Lücke – es räumt aber keine Dateien auf, die vor dem Patch dort abgelegt wurden.

Dieser Beitrag legt den technischen Sachverhalt offen, benennt die betroffenen Versionen und Konfigurationen, führt Sie durch die Prüfschritte zur Selbstdiagnose und gibt eine geordnete Abfolge von Sofortmaßnahmen. Abschließend ordnen wir ein, was dieser Vorfall strukturell über den Betrieb von Self-Hosted-Plattformen aussagt.

Nextcloud Sicherheitslücke Webshell: Was konkret passiert ist: Sachverhalt, Zeitlinie und betroffene Versionen

Die Schwachstelle CVE-2026-110447 steckt in der Datei proxy.php der Nextcloud-App richdocumentscode (Collabora Online – Built-in CODE Server). Bis einschließlich Version 26.4.302 wird Nutzereingabe inklusive Pfadbestandteilen in einem doppelt gequoteten Bash-Befehl verarbeitet. Eingeschleuste $(...)-Konstrukte werden dabei direkt ausgeführt – ohne jede Authentifizierung (CWE-78: OS Command Injection).

Früheste geloggte Angriffe stammen vom 10. September 2026. Collabora stellte den Patch (Version 26.4.303) am 11. September bereit; das offizielle Security-Advisory folgte jedoch erst am 14. Oktober – mehr als einen Monat später. Erste öffentliche Warnungen durch Administratoren erschienen bereits am 3. Oktober im Nextcloud Community Forum, noch vor Vergabe einer CVE-Nummer. Heise Security berichtete Ende Oktober über aktiv laufende Angriffe, die gezielt auf Nextcloud-Server mit nicht aktualisierter richdocumentscode-App abzielten.

Angreifer nutzten die platzierten Webshells gezielt, um nach Passwort-Safes (*.kdbx, Bitwarden, 1Password) und Krypto-Wallets (wallet.dat, keystore.json) zu suchen. Die Webshell operiert dabei mit den Rechten des Webserver-Accounts.

Betroffene Versionen: richdocumentscode ≤ 26.4.302 auf Nextcloud-Installationen
Nicht betroffen: Standalone-Collabora-Deployments (Docker, RPM/DEB) sowie Nextcloud All-in-One-Setups
Patch-Version: 26.4.303 – setzt Nextcloud 30 oder neuer voraus
Ältere Nextcloud-Versionen (≤ 29): erhalten aus dem App Store weiterhin die verwundbare Version – hier muss Nextcloud selbst aktualisiert oder die App entfernt werden

Als ISO/IEC 27001 zertifiziertes IT-Systemhaus – TTG GmbH verfolgen wir solche Schwachstellen-Zeitlinien systematisch – denn der Zeitraum zwischen erstem Exploit und Advisory entscheidet oft darüber, ob ein Angriff rechtzeitig erkannt wird.

Sind Sie betroffen? Konkrete Prüfschritte ohne Umwege

Bevor Sie patchen, müssen Sie wissen, ob Ihr System bereits kompromittiert wurde. Ein Update schließt die Lücke – vorher platzierte Webshells bleiben jedoch auf dem Server. Die folgende Tabelle hilft bei der schnellen Einordnung:

Situation	Betroffenheit	Empfehlung
richdocumentscode installiert, Version ≤ 26.4.302	Betroffen	Sofort patchen + Kompromittierungsprüfung
richdocumentscode deaktiviert, aber installiert	Betroffen	Deaktivieren reicht nicht – updaten oder entfernen
Nextcloud ≤ 29, richdocumentscode installiert	Betroffen	App entfernen + Nextcloud aktualisieren
Standalone Collabora (Docker/RPM/DEB)	Nicht betroffen	Intern dokumentieren, keine Notfallmaßnahme
Nextcloud All-in-One	Nicht betroffen	Intern dokumentieren, keine Notfallmaßnahme

Für betroffene Installationen empfehlen sich folgende Prüfschritte in dieser Reihenfolge:

App-Version feststellen: Nextcloud Admin-Panel → Apps → „Collabora Online – Built-in CODE Server“ – angezeigte Version notieren
Nextcloud-Version prüfen: php occ status im Nextcloud-Verzeichnis ausführen
Webshell-Muster suchen: Nextcloud-Verzeichnis nach Dateien mit dem Muster shx*.php durchsuchen, z. B. mit find /var/www/nextcloud -name "shx*.php"
Zugriffslogfile prüfen: Apache/Nginx-Access-Log auf Zugriffe auf /apps/richdocumentscode/proxy.php ab dem 10. September durchsuchen
Fehlerlog sichern: Logs vor dem Patchen sichern – sie sind nach einem Update noch auswertbar, nach einer Neuinstallation möglicherweise nicht mehr

Die IT-Sicherheitslösungen der TTG GmbH umfassen auch die Analyse von Serverprotokollen und die forensische Erstbewertung bei Verdacht auf Kompromittierung – sprechen Sie uns an, wenn Sie bei den Prüfschritten Unterstützung benötigen.

Sofortmaßnahmen: Was in welcher Reihenfolge zu tun ist

Sind Sie von der Nextcloud Sicherheitslücke Webshell betroffen oder unsicher, ob Ihr System bereits exponiert war, gehen Sie diese Schritte in der genannten Reihenfolge durch. Zeitaufwand für eine saubere Umsetzung: ein halber Arbeitstag für einen erfahrenen Administrator.

Logs sichern (zuerst): Zugriffslogdateien und Nextcloud-Applikationslog vor allen weiteren Eingriffen in ein schreibgeschütztes Verzeichnis oder externes Medium kopieren.
App updaten oder entfernen: Im Admin-Panel unter Apps → „Collabora Online – Built-in CODE Server“ auf Version ≥ 26.4.303 aktualisieren. Falls die App nicht benötigt wird: vollständig deinstallieren. Deaktivieren allein ist kein Schutz.
Nextcloud-Version sicherstellen: Patch 26.4.303 setzt Nextcloud 30+ voraus. Läuft Ihre Instanz noch auf Version ≤ 29 (bereits außerhalb des Supports), muss zuerst Nextcloud selbst aktualisiert werden.
Patch-Version verifizieren: Version 26.4.402 hat auf manchen Installationen den CODE-Server nicht mehr gestartet; einige Administratoren haben auf 26.4.303 zurückgerollt. Testen Sie den Rollout auf einer Nicht-Produktivinstanz, bevor Sie live gehen.
Filesystem-Integrität prüfen: Durchsuchen Sie das gesamte Nextcloud-Verzeichnis nach unbekannten PHP-Dateien. Bei Funden: Datei nicht löschen, sondern zuerst sichern und analysieren – sie enthält möglicherweise Hinweise auf den Angriffsvektor.
Persistenz-Mechanismen ausschließen: Prüfen Sie Cronjobs, neue Systemnutzer und SSH-authorized_keys – Webshells sind häufig nur die erste Stufe einer mehrstufigen Kompromittierung.

Weitere Orientierung bietet der BSI Lagebericht Cybersicherheit, der strukturelle Empfehlungen zum Umgang mit aktiv ausgenutzten Schwachstellen für Betreiber kritischer Applikationen enthält.

Die Sichere IT-Infrastruktur für KMU – TTG GmbH kann Sie bei der Härtung von Self-Hosted-Plattformen und der Einrichtung automatisierter Monitoring-Mechanismen unterstützen.

Einordnung: Wie ernst ist dieser Vorfall – und was bedeutet er strukturell

CVE-2026-110447 ist kein Edge-Case. Die Kombination aus CVSS 9,2, unauthentifizierter Ausführbarkeit und einem Patch-Advisory-Gap von über 30 Tagen macht diese Nextcloud Sicherheitslücke Webshell zu einem der folgenreichsten Vorfälle im Self-Hosted-Bereich der letzten Jahre. Dass früheste Angriffe auf den 10. September datiert werden, das Advisory aber erst am 14. Oktober erschien, zeigt: Wer auf offizielle Hersteller-Kommunikation wartet, verliert im Zweifel Wochen.

Für Betriebe, die Nextcloud in Mühlhausen oder andernorts selbst betreiben, stellen sich zwei strukturelle Fragen: Erstens, wie schnell unbekannte Schwachstellen in eingesetzten Apps erkannt werden – und zweitens, ob die Kapazität vorhanden ist, im Ernstfall nicht nur zu patchen, sondern auch forensisch zu prüfen. Beides setzt Monitoring, gepflegte Asset-Listen und ein definiertes Incident-Response-Vorgehen voraus.

Der BSI – IT-Grundschutz für Unternehmen beschreibt genau diese Prozesse als Mindestanforderung für einen strukturierten Betrieb produktiver Systeme – unabhängig von Unternehmensgröße. Eine BSI-Analyse (CAOS3, Analysezeitraum Februar bis Juni 2024) hatte bereits zuvor auf Sicherheitslücken mittlerer und hoher Kritikalität im Nextcloud Server hingewiesen.

Für Entscheider: Diese Lücke ist kein Argument gegen Nextcloud, aber ein starkes Argument dafür, Self-Hosted-Plattformen mit denselben Kontrollmechanismen zu betreiben wie jede andere exponierte Anwendung. Die TTG GmbH begleitet Betriebe mit über 25 Jahren Erfahrung im Betrieb und der Absicherung solcher Umgebungen.

Die IT-Dienstleistungen der TTG GmbH umfassen Schwachstellen-Assessments, Patch-Management und die strukturierte Einrichtung von Monitoring für selbst betriebene Applikationen.

Ihre Checkliste: So starten Sie jetzt

Prüfen Sie die installierte Version von richdocumentscode im Nextcloud Admin-Panel (Apps → „Collabora Online – Built-in CODE Server“) und vergleichen Sie mit 26.4.303.
Sichern Sie Zugriffslogdateien und Nextcloud-Applikationslog, bevor Sie Änderungen vornehmen – sie sind für eine spätere Analyse unverzichtbar.
Durchsuchen Sie das Nextcloud-Verzeichnis mit find /var/www/nextcloud -name "shx*.php" nach unbekannten PHP-Dateien und prüfen Sie /apps/richdocumentscode/proxy.php in den Zugriffslogdateien.
Aktualisieren Sie richdocumentscode auf ≥ 26.4.303 (setzt Nextcloud 30+ voraus) oder entfernen Sie die App vollständig – Deaktivieren schließt die Lücke nicht.
Dokumentieren Sie intern, ob Ihr Setup betroffen ist oder nicht (z. B. Standalone Collabora, All-in-One) – das vermeidet unnötige Notfallmaßnahmen bei künftigen Meldungen zu dieser Schwachstelle.

Häufig gestellte Fragen

Reicht es, die App im Nextcloud-Panel zu deaktivieren?

Nein – und das ist einer der kritischsten Punkte dieses Vorfalls. Das Deaktivieren der App über das Admin-Panel ändert nichts an der Erreichbarkeit der verwundbaren proxy.php. Die Datei bleibt auf dem Dateisystem und kann weiterhin direkt aufgerufen werden. Erforderlich ist ein Update auf mindestens Version 26.4.303 oder die vollständige Deinstallation der App. Wer bereits deaktiviert hat und glaubt, damit sicher zu sein, sollte sofort nachbessern.

Wir nutzen einen Hoster mit Nextcloud – sind wir ebenfalls betroffen?

Das hängt vom konkreten Setup ab. Ausschließlich die integrierte Built-in CODE Server App (richdocumentscode) ist verwundbar. Wenn Ihr Hoster einen eigenständigen Collabora-Server (z. B. als Docker-Container) betreibt, besteht kein Risiko durch diese Lücke. Klären Sie mit Ihrem Hosting-Anbieter, welche Variante eingesetzt wird – und lassen Sie sich das Ergebnis schriftlich bestätigen. Im Zweifel ist eine kurze Anfrage beim Support die schnellste Antwort.

Was kostet eine professionelle Kompromittierungsprüfung – und ist sie wirklich notwendig?

Eine strukturierte forensische Erstbewertung durch einen IT-Dienstleister liegt je nach Systemkomplexität typischerweise im Bereich von drei bis acht Stunden Aufwand. Notwendig ist sie immer dann, wenn die verwundbare App in dem Zeitraum ab dem 10. September installiert und erreichbar war – unabhängig davon, ob auffällige Logeinträge vorliegen. Webshells hinterlassen nicht immer sichtbare Spuren im laufenden Betrieb. TTG GmbH unterstützt Sie bei der Erstbewertung und gibt eine klare Einschätzung, ob weiterer forensischer Aufwand gerechtfertigt ist.

Lesetipps – weitere Ratgeber der TTG GmbH

Über den Autor
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.

Kontakt aufnehmen · Über TTG GmbH

Haben Sie bereits geprüft, ob auf Ihrem Nextcloud-Server eine Webshell platziert wurde – oder verlassen Sie sich noch darauf, dass kein Angriff stattgefunden hat?

Ihre IT-Sicherheit jetzt stärken

Schützen Sie Ihr Unternehmen vor Cyberangriffen und Datenverlust. Die TTG GmbH berät KMU in Nordthüringen und Eichsfeld – ISO/IEC 27001 zertifiziert, persönlich vor Ort.