Zwei Sicherheitslücken, die bereits aktiv ausgenutzt werden, treffen Software, die in vielen kleineren Unternehmen und Verwaltungen läuft: den Collabora Online Built-in CODE Server als Nextcloud-App und den Arista VeloCloud Orchestrator in der On-Premise-Variante. Die US-Cybersicherheitsbehörde CISA hat für beide Fälle Warnungen zu beobachteten Angriffen veröffentlicht, Arista und Collabora haben korrigierte Versionen bereitgestellt. Wer diese Systeme betreibt, sollte heute prüfen, welche Version läuft – und ob bereits Webshells auf dem Server liegen.
Zwei kritische Lücken, ein Muster
Beide Schwachstellen sind mit CVSS-4-Werten von 9,4 und 9,2 als kritisch eingestuft. In beiden Fällen genügt ein Zugriff aus dem Netz, um Befehle auf dem System auszuführen oder administrative Funktionen zu übernehmen – ohne gültige Anmeldung. Die Angriffe sind kein theoretisches Szenario: Die CISA führt beide Lücken als bereits ausgenutzt, und im Issue-Tracker von Collabora reichen die ersten Meldungen über kompromittierte Nextcloud-Instanzen bis zum 11. September 2026 zurück.
Collabora CODE in Nextcloud: Webshells über proxy.php
Die Lücke CVE-2026-110447 steckt in der Datei proxy.php des eingebauten CODE-Servers, der als App richdocumentscode in Nextcloud läuft. Angreifer können ohne Anmeldung Betriebssystembefehle einschleusen, die mit den Rechten des Webserver-Benutzers ausgeführt werden. Ausnutzbar ist der Fehler nur, solange der eingebaute CODE-Server nicht läuft – also während eines Container-Neustarts, eines Upgrades oder nach einem Absturz.
Das Deaktivieren der App hilft nicht, weil der verwundbare Code weiterhin auf dem Datenträger liegt. Nur ein Update der App auf Version 26.4.303 oder neuer beseitigt den Fehler. Diese Version setzt Nextcloud 30 oder neuer voraus; wer noch Nextcloud 29 oder älter einsetzt, muss die Instanz aktualisieren oder die App vollständig entfernen. Separat betriebene Collabora-Server sind nicht betroffen.
Arista VeloCloud Orchestrator: SQL-Injection mit Superuser-Rechten
Im VeloCloud Orchestrator (VCO) erlaubt eine SQL-Injection (CVE-2026-114625, CVSS 9,4) den Zugriff auf privilegierte interne Funktionen. Angreifer können sich als „Superuser Operator“ ausgeben und Funktionen erreichen, die eigentlich nicht aus dem Internet erreichbar sein sollten. Betroffen ist ausschließlich die On-Premise-Installation; von Arista gehostete Instanzen hat der Hersteller selbst abgesichert.
Korrigiert sind die Versionen 5.2.3.18, 6.1.3.10 und 6.4.2.12. Eine Konfiguration, die das Risiko ohne Update senkt, gibt es laut Arista nicht – der VCO ist standardmäßig aus dem Netz erreichbar. Bis zum Update hilft nur, den Zugriff per Firewall oder VPN auf vertrauenswürdige Gegenstellen zu begrenzen.
Handlungsempfehlungen für IT-Verantwortliche
1. Bestand in wenigen Minuten klären
Verschaffen Sie sich zuerst einen Überblick: Welche Nextcloud-Instanzen laufen, ist richdocumentscode installiert und in welcher Version, welche VCO-Appliances stehen on-prem? Ohne diese Liste lässt sich nicht entscheiden, wo zuerst gepatcht werden muss. Für Nextcloud liefert occ app:list die installierte Version, beim VCO die Administrationskonsole.
2. Updates mit Zeitfenster statt mit Wartezeit
Beide Fehler sind ohne Anmeldung ausnutzbar und werden aktiv angegriffen. Planen Sie das Collabora-Update kurzfristig ein und prüfen Sie vorher, ob die eigene Nextcloud-Version die Voraussetzung erfüllt. Beim VCO ist das Update der einzige wirksame Schutz; ein Warten auf den nächsten regulären Wartungszyklus ist bei CVSS 9,4 nicht vertretbar.
3. Angriffsflächen konsequent schließen
Prüfen Sie, ob VCO und Nextcloud wirklich aus dem Internet erreichbar sein müssen. Ein VCO gehört hinter VPN oder eine IP-Allowlist, nicht offen ins Netz. Für Nextcloud gilt das auch für Administrationsoberflächen; der Pfad /apps/richdocumentscode/ lässt sich am Reverse Proxy zusätzlich einschränken, solange das Update noch aussteht.
4. Nach Einbruchsspuren suchen
Suchen Sie in den Webserver-Logs nach POST-Anfragen an proxy.php und in den Nextcloud-Logs nach ungewöhnlichen Aufrufen der richdocumentscode-Routen. Prüfen Sie das Web-Root auf PHP-Dateien, die in den letzten Wochen neu aufgetaucht sind, und vergleichen Sie sie mit der Originalinstallation. Auf den VCO-Geräten sollten die Angreifer-Adressen 74.82.197.86 und 38.54.50.151 in Logs und Firewall-Regeln auftauchen.
5. Rechte und Zugänge trennen
Der Collabora-Fehler wirkt mit den Rechten des Webserver-Benutzers – dort darf kein Schreibzugriff auf Nextcloud-Konfiguration oder Datenbank-Zugangsdaten liegen, der nicht zwingend nötig ist. Beim VCO sollte der Administrationszugang nicht dieselbe Quelle sein wie der normale Betriebszugriff. Beides kostet wenig Aufwand und begrenzt den Schaden, wenn ein Patch zu spät kommt.
Was tun, wenn Sie fündig werden
Trennen Sie die betroffene Instanz sofort vom Netz, schalten Sie sie aber nicht ab – Prozessliste, Logs und aktive Netzverbindungen wären sonst verloren. Sichern Sie Speicherabbild und Logs, bevor Sie das System neu aufsetzen, und ändern Sie anschließend alle Zugangsdaten, die auf dem Server lagen: Datenbank, Nextcloud-Administration, SMTP und API-Token. Prüfen Sie auch ausgehende Verbindungen, denn Webshells werden häufig für den Nachladeverkehr genutzt.
Bei personenbezogenen Daten greift die Meldepflicht nach DSGVO binnen 72 Stunden; bei kritischen Infrastrukturen kommt die Meldepflicht nach BSIG hinzu. Dokumentieren Sie Zeitpunkt der Kenntnis, betroffene Systeme und eingeleitete Maßnahmen von Anfang an – das erleichtert sowohl die Meldung als auch die spätere Bewertung.
Die nächsten 30 Tage
Setzen Sie einen Patch-SLA fest: Lücken mit bekannter Ausnutzung binnen 72 Stunden, alles andere im nächsten Fenster mit Rufbereitschaft. Erstellen Sie ein Inventar aller aus dem Internet erreichbaren Dienste und begründen Sie für jeden Eintrag, warum er erreichbar sein muss. Testen Sie anschließend den Wiederanlauf aus sauberen Sicherungen – eine Webshell auf dem Webserver ist nur dann beherrschbar, wenn das Rückspielen verlässlich funktioniert.
Quellen
heise online, „Angriffe auf Arista VeloCloud und Collabora/Nextcloud beobachtet“, 26.10.2026: heise.de
Arista Security Advisories: arista.com
Nextcloud App Store, richdocumentscode: apps.nextcloud.com
No responses yet