Aktive Angriffe auf Nextcloud-Collabora und Arista VeloCloud: Updates dringend prüfen

Zwei kritische Schwachstellen in verbreiteten Unternehmenslösungen werden bereits aktiv für Angriffe ausgenutzt. Betroffen sind bestimmte Installationen des Collabora Online Built-in CODE Servers für Nextcloud sowie lokal betriebene Arista VeloCloud Orchestratoren. Unternehmen sollten jetzt prüfen, ob sie eine der betroffenen Konfigurationen einsetzen, verfügbare Updates installieren und ihre Systeme auf Hinweise einer bereits erfolgten Kompromittierung untersuchen.

Sicherheitslücke im Built-in CODE Server für Nextcloud

Die Schwachstelle CVE-2026-110447 betrifft die optionale Nextcloud-App „Collabora Online – Built-in CODE Server“, auch unter dem App-Namen richdocumentscode bekannt. Betroffen sind Versionen vor 26.4.303.

Über eine Schwachstelle in der Datei proxy.php können Angreifer unter bestimmten Voraussetzungen Betriebssystembefehle ausführen. Ausnutzbar ist die Lücke insbesondere dann, wenn der integrierte CODE Server nicht läuft – beispielsweise während eines Neustarts, nach einem Absturz oder im Verlauf eines Updates.

Bei beobachteten Angriffen wurden Webshells auf Nextcloud-Servern installiert. Solche Webshells ermöglichen Angreifern einen dauerhaften Fernzugriff und können dazu verwendet werden, das System weiter auszuspähen oder nach Zugangsdaten und anderen sensiblen Informationen zu suchen.

Wichtig ist die genaue Abgrenzung: Die Sicherheitslücke betrifft nicht grundsätzlich jede Nextcloud- oder Collabora-Installation. Separat betriebene Collabora-Online-Server sowie Docker-, RPM- und DEB-Installationen sind nach Angaben des Herstellers nicht betroffen. Auch Nextcloud All-in-One gehört nicht zu den betroffenen Installationsformen.

Empfohlene Maßnahmen für Nextcloud-Betreiber

• prüfen, ob die App richdocumentscode installiert ist,
• die App unverzüglich auf Version 26.4.303 oder neuer aktualisieren,
• eine nicht benötigte App vollständig entfernen,
• Webserver-, Nextcloud- und Systemprotokolle auf verdächtige Zugriffe kontrollieren,
• das Dateisystem auf unbekannte oder kürzlich angelegte PHP-Dateien und Webshells untersuchen,
• Zugangsdaten ändern, wenn eine Kompromittierung nicht ausgeschlossen werden kann,
• vorhandene Datensicherungen und deren Wiederherstellbarkeit überprüfen.

Ein bloßes Deaktivieren der betroffenen App reicht unter Umständen nicht aus, solange der verwundbare Programmcode weiterhin auf dem Server vorhanden und erreichbar ist.

Kritische Schwachstelle im Arista VeloCloud Orchestrator

Die zweite aktiv ausgenutzte Schwachstelle trägt die Kennung CVE-2026-114625 und betrifft den lokal betriebenen Arista VeloCloud Orchestrator, kurz VCO On-Prem.

Durch eine SQL-Injection kann ein bereits authentifizierter Benutzer seine Berechtigungen ausweiten und sich als lokaler „Superuser Operator“ ausgeben. Dadurch können interne Funktionen erreichbar werden, die regulären Benutzern nicht zur Verfügung stehen. Die Schwachstelle wurde mit einem CVSS-Wert von 9,9 als kritisch eingestuft.

Für einen erfolgreichen Angriff benötigt der Angreifer einen Netzwerkzugang zur VCO-Weboberfläche, eine gültige Sitzung und mindestens die integrierte Rolle „Enterprise Read Only“. Hosted- und Dedicated-Instanzen wurden nach Angaben von Arista bereits durch den Anbieter aktualisiert. Betreiber eigener On-Premise-Instanzen müssen dagegen selbst tätig werden.

Betroffene und korrigierte Versionen

• Version 5.2.x vor 5.2.3.18
• Version 6.1.x vor 6.1.3.10
• Version 6.4.x vor 6.4.2.12

Arista empfiehlt, auf die jeweils korrigierte oder eine neuere unterstützte Version zu aktualisieren. Zusätzlich sollte der Zugriff auf die Verwaltungsoberfläche bis zur Aktualisierung auf vertrauenswürdige administrative Netze begrenzt werden.

Ein Update allein kann zu wenig sein

Da beide Schwachstellen bereits für reale Angriffe verwendet werden, sollten Unternehmen nicht ausschließlich prüfen, ob ein Update verfügbar ist. Ebenso wichtig ist die Frage, ob ein betroffenes System möglicherweise schon vor der Aktualisierung kompromittiert wurde.

Eine nachträgliche Aktualisierung beseitigt zwar die bekannte Sicherheitslücke, entfernt aber nicht automatisch bereits installierte Webshells, angelegte Benutzerkonten oder andere Manipulationen. Deshalb sollten Logdateien, administrative Änderungen, ausgehende Netzwerkverbindungen und neue beziehungsweise veränderte Dateien sorgfältig überprüft werden.

Besteht ein konkreter Verdacht auf eine Kompromittierung, sollten relevante Protokolle und Systeminformationen vor weiteren Änderungen gesichert werden. Anschließend ist zu bewerten, ob eine Bereinigung ausreicht oder das System aus einer nachweislich sauberen Datensicherung neu aufgebaut werden muss.

Was Unternehmen jetzt tun sollten

1. Werden Nextcloud, Collabora Online oder Arista VeloCloud eingesetzt?
2. Handelt es sich um eine konkret betroffene Installationsform?
3. Welche Softwareversion ist aktuell installiert?
4. Ist die Verwaltungsoberfläche aus dem Internet erreichbar?
5. Gibt es verdächtige Anmeldungen, Dateien oder Konfigurationsänderungen?
6. Sind aktuelle und überprüfte Datensicherungen vorhanden?
7. Wer ist im Unternehmen für Aktualisierung und Sicherheitsprüfung verantwortlich?

Die beiden Fälle zeigen erneut, dass ein aktuelles Inventar der eingesetzten Systeme eine wichtige Voraussetzung für wirksame IT-Sicherheit ist. Nur wenn bekannt ist, welche Anwendungen, Erweiterungen und Versionen tatsächlich betrieben werden, können Sicherheitsmeldungen schnell bewertet und notwendige Maßnahmen gezielt umgesetzt werden.

Unterstützung bei der Sicherheitsprüfung

Sie sind unsicher, ob Ihre Nextcloud-, Collabora- oder Netzwerkinfrastruktur betroffen ist? IT Zingsheim unterstützt Unternehmen bei der Überprüfung eingesetzter Systeme, der Priorisierung notwendiger Updates und der Auswertung möglicher Auffälligkeiten.