対象はNextcloudの「Collabora Online - Built-in CODE Server」（アプリID richdocumentscode）26.4.303未満です。開発元は、無効化だけでは不十分で、修正版への更新またはアプリの削除が必要としています。修正前に侵入されていた可能性の確認は、更新とは別の作業です。
Nextcloudは、組織でファイル共有などに使うサーバーソフトウェアです。文書をブラウザーで編集するため、Collabora Onlineを組み合わせる構成があります。今回の対象は、その文書編集サーバーをNextcloudのアプリとして組み込むBuilt-in CODE Serverです。すべてのNextcloud本体や、すべてのCollabora構成が同じ条件で影響するという話ではありません。
2026年10月23日、CISAはCVE-2026-110447を既知悪用脆弱性カタログ（KEV）の公式JSONへ追加しました。KEVは、現実の悪用が知られている脆弱性を整理したリストです。本稿は10月25日7時台（日本時間）に確認し、週末でも更新を後回しにしないための点検手順をまとめています。
何が新しいのか：修正版の公開と、悪用リストへの追加は別の日
| 日付 | 確認できた出来事 | 読み方 |
|---|---|---|
| 2026年9月11日 | 公式アプリ配布の履歴に26.4.303のUpdated表示 | 修正版は今回初めて登場したものではない。表示時刻のタイムゾーンは確定していない |
| 2026年10月14日 | Collaboraのセキュリティ勧告を公開 | 脆弱性の公表日。攻撃が始まった日ではない |
| 2026年10月23日 | CISA KEVにCVE-2026-110447を追加 | 今回取り上げる重要な新情報。日本時間25日朝の調査では72時間以内 |
日付の根拠は公式アプリのリリース一覧、開発元勧告、CISAのKEVデータです。勧告の公開時刻はGitHub APIで10月14日07:36:56 UTCと確認しました。被害が最初に起きた日時や、被害組織数はこの資料からは確定できません。
誰が対象か：Nextcloudの版だけでは判断できない
| 構成・状態 | このCVEの判断と対応 |
|---|---|
| richdocumentscode 26.4.303未満が残っている | 更新または削除が必要。無効化済みでも対象外としない |
| richdocumentscode 26.4.303以降 | このCVEの修正を含む。過去の侵害がなかったことまでは保証しない |
| 独立したCollabora Onlineサーバー | 開発元はこのCVEの対象外としている。内蔵アプリも残っていないか別途確認 |
| Nextcloud 29以前で内蔵アプリを利用 | 勧告はNextcloudの更新または内蔵アプリ削除を案内 |
| 構成・アプリの実体が不明 | 未確認として担当者へ確認。画面で無効になっているだけでは判断しない |
影響・修正版の表は開発元勧告に基づきます。Nextcloud Officeの連携アプリ名であるrichdocumentsと、内蔵サーバーのrichdocumentscodeを取り違えないことが大切です。またCPU構成の異なる別配布パッケージは、名前が似ているという理由だけで対象外にも対象にもせず、配布元の対応表と実際のアプリIDを確認します。
何が起こるのか：止まっている文書サーバーの起動経路が問題になる
開発元が示した問題は、内蔵アプリのproxy.phpにおけるOSコマンドインジェクションです。外から届いた入力が、サーバー上で実行する命令に不適切に混ざり、意図しない命令を動かせる状態を指します。認証なしのリクエストから、Webサーバーの実行ユーザー権限で命令が動くとされています。勧告のImpactを参照してください。
攻撃が成立するのは内蔵CODE Serverが動いていない間で、再起動、更新、クラッシュなどが例示されています。「今は動いているから対応不要」と判断せず、止まる場面を含めて考えます。アプリ設定を無効にすることと、問題のある実体を更新・除去することは別です。
評価は開発元によるCVSS v4.0で9.2、Criticalです。Webサーバーの実行権限は、管理者権限と同じとは限りません。それでも、そのユーザーが読める設定・データや書き込める領域に影響が及ぶ可能性があります。どこまで到達するかは権限設計に依存するため、漏えい済み・全サーバー乗っ取りと一律に断定しません。
最初にする棚卸し：有効・無効の両方と、残ったファイルを確認
以下は管理権限のある自社環境を対象にした、編集部提案の読み取り中心の手順です。実環境に対する攻撃再現は行いません。外部の診断サイトへURLや認証情報を入力する必要もありません。
- 1対象のNextcloudインスタンス、管理担当、外部公開の有無を一覧にする。負荷分散先や古い検証環境も含める。
- 2管理画面のアプリ一覧、またはocc app:listで、richdocumentscodeの有効・無効と版を確認する。Nextcloud本体の版とは別の欄に記録する。
- 3管理者が配置ディレクトリとアプリの実体を確認し、無効アプリや旧コンテナー、旧デプロイに脆弱な版が残っていないか確かめる。
- 4更新前の版を使っていた期間、外部公開期間、再起動・クラッシュ・更新の記録、保存済みログの範囲を整理する。分からない欄は不明とする。
Nextcloud公式occガイドは、HTTPユーザーで実行し、Web側と合うPHP版を使うよう説明しています。次はDebian/Ubuntu系の配置を想定した例です。www-data、PHP実行ファイル、配置先は環境に合わせて置き換え、コンテナーやパッケージ版では配布元の実行方法に従います。
cd /var/www/nextcloudsudo -u www-data /usr/bin/php occ statussudo -u www-data /usr/bin/php occ app:liststatusで出る本体の版と、app:listに出るアプリの版を別々に読みます。コマンドが失敗した、表示からアプリが見つからない、という理由だけで安全と判定しないでください。配置の違い、権限、CLI側のPHP設定を切り分けます。今回の編集部確認は公式手順の照合までで、実際のNextcloudサーバー上では実行していません。
更新・検証は、文書編集の動作確認まで一組にする
- 1変更担当者と保守時間を決め、構成・データ・ログの保全方針を確認する。侵害が疑われる場合は、更新で証拠を失う前に対応担当へ連絡する。
- 2公式のアプリ管理経路で、対象Nextcloud版と互換性のある26.4.303以降へ更新する。古い本体で更新できない場合は、本体の移行またはアプリ削除を計画する。
- 3内蔵アプリを使わない構成では、単なる無効化で終了せず、影響確認後に配布元の手順で削除する。ここに示した棚卸しコマンドが削除を実行するわけではない。
- 4各インスタンスのアプリの実体・版を再確認する。複数台、複数イメージ、旧環境の一部だけが残る状態を避ける。
- 5権限のあるテスト用文書で、開く・編集する・保存する・共有権限が維持されることを確認する。緊急対応のために無効化した機能の復旧範囲も記録する。
更新先の基準は26.4.303を修正版とする勧告です。将来の読者が常に26.4.303へ固定するという意味ではありません。利用中の本体に対応した、その時点のサポートされる修正版を選びます。アプリ削除による業務影響や、バックアップから戻す際に脆弱な版を復活させないことも確認します。
更新しても、過去に侵入されていないかの確認は残る
CISAのKEV追加が確認できるため、公開状態で脆弱な版を使っていた組織は、更新の実施記録だけで終了せず、侵害の有無を調べる作業を分けて管理します。KEVの該当項目はランサムウェアでの利用をUnknownとしています。「悪用あり」と「ランサムウェア被害あり」は同じ情報ではありません。KEVの該当CVEを参照してください。
編集上の推奨として、Webアクセスログ、アプリ・OSのログ、予期しないファイル追加、実行プロセスや外向き通信の記録を、保持できている期間について調べます。不審なファイルを見つけても、いきなり削除せず、証拠保全と封じ込めを担当者と進めます。ログがない期間は「異常なし」ではなく「確認できない期間」です。
Nextcloudのコード署名・整合性確認は、署名に対するファイルの違いや余分なファイルを調べる助けになります。管理画面の警告を確認するか、対象アプリに対する整合性確認の手順を利用します。ただし署名対象の検査が成功しただけで、侵害全体がなかったとは言えません。
| 点検結果 | 扱い方 |
|---|---|
| EXTRA_FILEなどの警告 | 更新残骸・管理者の追加・不審ファイルを区別する材料。警告だけで攻撃確定にしない |
| 整合性検査に問題なし | 検査対象の範囲での結果。別領域の変更、資格情報の悪用などは別途確認 |
| 不審なアクセスやファイルを確認 | CSIRT・管理会社等へ引き継ぎ、封じ込め・調査・復旧と資格情報の見直しを判断 |
| 記録が欠けている | 欠損期間と理由を明記し、未確認を残す |
一時的なアクセス制限は露出を減らす補助策です。IP制限を加えた、CODE Serverを起動した、アプリを無効化した、という一つの操作を修正完了の代わりにしません。KEVにある10月26日の期限は米国の該当機関に関係する制度上の情報であり、日本の全企業に同じ法的期限が課されるという説明ではありません。自社では公開状況と悪用情報を根拠に、担当と対応期限を具体化します。
LLMに渡す指示：設定変更ではなく、根拠付きの棚卸しから
次の依頼文は、社内で利用を認められたLLMへ、匿名化した台帳と公式情報だけを渡すための教材です。認証情報や生のログ、文書本文は貼り付けません。LLMが出した対象外判定は、運用担当者が構成と証拠を見て確定します。
CVE-2026-110447について、当社のNextcloud構成の読み取り専用の棚卸しを手伝ってください。
根拠はCollaboraの公式勧告GHSA-g3vx-3m76-fghh、公式アプリ配布情報、CISA KEVです。参照日時とURLを記録してください。私が渡すのは匿名化したインスタンスID、本体版、アプリIDと版、有効/無効、内蔵/独立構成、公開期間、更新履歴、ログ保持期間だけです。認証情報、顧客情報、生ログは求めないでください。
richdocumentsとrichdocumentscodeを分け、無効化だけを安全判定の根拠にしないでください。影響判定、根拠、未確認事項、担当、次の確認を表にしてください。版や配布パッケージが不明なものは推測せず未確認としてください。
更新・削除・再起動・アクセス制限・ファイル削除・攻撃再現は実行しないでください。変更が必要なら計画だけを示してください。更新の完了確認と過去の侵害確認を別のタスクにし、整合性検査の成功だけで侵害なしと断定しないでください。最後に人が確認する項目を列挙してください。点検依頼文をテキストでダウンロードできます。利用者は運用担当へ「内蔵CODE Serverの有無・版」「更新完了」「過去の公開期間の調査」の3点を確認し、独自に攻撃テストをしないでください。
確認日：2026年10月25日7時台（日本時間）。本稿は公式資料をもとにした防御側の運用解説で、製品の侵害再現・修正版の実機検証は行っていません。共通の対応手順は脆弱性ウォッチの基本、公開Webと過去ログの点検はJPCERTの注意喚起を扱った記事も参照してください。