Nextcloud 內置 Collabora 元件遭利用 自架用戶應查 richdocumentscode
美國網絡安全及基礎設施安全局（CISA）已把 CVE-2026-110447 加入「已遭利用漏洞」清單。iThome 報道指出，漏洞位於 Nextcloud 的 Collabora Online Built-in CODE Server（app 名稱為 richdocumentscode），屬作業系統命令注入問題，並已有實際攻擊證據。
這次事件的重點，在於受影響的未必是所有使用 Nextcloud 或 Collabora Online 的機構，而是需要確認其文件協作部署中是否啟用了內置 CODE server。對自架 Nextcloud 的中小企、學校及技術團隊而言，將「有用網上文件協作」直接等同「一定受影響」，或反過來因為主系統已更新而忽略 app 元件，兩者都有風險。
已有 Webshell 植入個案
iThome 指出，相關攻擊最早可追溯至約 9 月 10 日，當時多名系統管理員回報系統遇襲，攻擊者植入以 PHP 製作的 Webshell；Nextcloud 社群亦在 10 月初提醒用戶盡快升級。這表示修補工作不能只視作預防性更新：若 server 在漏洞曝光期間對外提供服務，管理員亦應按事件應變方式檢視是否已有入侵痕跡。
CISA 在 10 月 23 日更新 KEV 清單，並要求美國聯邦機構於 10 月 26 日前完成處理。這是對聯邦機構的指定期限，並非香港企業、學校或一般 Nextcloud 用戶的法定時限；不過，漏洞既已被積極利用，其他營運者也不宜把更新排到一般例行維護的最後。
管理員應先核實部署範圍
較穩妥的處理次序，是先在 Nextcloud 的已安裝及啟用 app 清單，以及部署紀錄中，核對是否存在並運行 richdocumentscode。機構若由託管服務商管理平台，也應要求對方明確確認該元件是否在租戶環境中啟用，而非只取得「Nextcloud 已更新」的籠統回覆。
確認使用該元件後，應依 Nextcloud、Collabora 及 CISA 的最新公告，核對適用的修補版本和更新指引。完成更新後，還應檢查網站目錄及相關位置有否不明 PHP 檔案或 Webshell，並回看漏洞暴露期間的 Web server、Nextcloud 與系統日誌，尋找異常指令、可疑檔案寫入及不尋常管理操作。若發現可疑痕跡，應保留證據並按既有事故處理程序隔離及調查，避免只刪除檔案便當作事件結束。
從營運角度看，這宗事件也反映文件協作平台的風險不只取決於主程式版本。外掛 app、內置協作元件與對外開放的服務，同樣會擴大維護範圍。下一步值得觀察的是，使用 richdocumentscode 的部署會否出現更多公開入侵線索，以及託管 Nextcloud 服務商能否向客戶清楚交代其元件版本與排查結果。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — 美國CISA警告雲端版辦公室軟體Collabora Online漏洞遭積極利用 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
