Nextcloudの内蔵CODE Server、無効化で安心？ 更新か削除を確認

どんな機能？ 名前を知らなくても、使っているかも。

Nextcloud（ネクストクラウド）は、ファイルの保存や共有などに使うソフトウェアです。Collabora Online - Built-in CODE Server（コラボラ・オンライン・ビルトイン・コード・サーバー）は、文書をブラウザーで編集するために組み合わせる追加アプリ。管理上の識別名はrichdocumentscodeです。今回は、この追加アプリの問題を取り上げます。

たとえば社内の共有ファイルをブラウザーで編集していたものの、今は使わないためアプリを無効化した、という場面です。これは説明用の一般的な例です。画面から機能を使えなくした状態と、問題のあるアプリを更新・削除した状態を、担当者と分けて確認しましょう。

何が起きるおそれがある？

対象はCVE-2026-110447（シー・ブイ・イー、脆弱性を識別する番号）。ログインしていない第三者から、Webサーバーを動かす利用者の権限で不正な命令を実行されるおそれがあります。公式評価はCritical（クリティカル、重大）、CVSS（シー・ブイ・エス・エス、深刻度の指標）4.0で9.2です。CISA（シーサ、米国のサイバーセキュリティ機関）は、2026年10月23日に既知の悪用がある脆弱性のカタログ、KEV（ケー・イー・ブイ）へ追加しました。 9.2は被害の確率や、個別企業の診断結果ではありません。

攻撃が成立する条件は、内蔵のCODE Serverが動作していない間です。開発元は、コンテナーの再起動、更新、異常終了などの場面を挙げています。Nextcloud全体が停止しているという意味ではありません。「アプリを無効化しているから安全」と判断せず、更新または削除を確認する必要があります。

「停止」「無効化」「更新・削除」を分けて確認

内蔵CODE Serverが停止中

攻撃が成立する条件の一つです。再起動や更新の途中も、開発元が挙げる例に含まれます。

追加アプリを無効化しただけ

開発元は、これだけでは対策にならないと案内しています。「使えない表示になった」で終えません。

26.4.303以上へ更新、または削除

対象アプリへの対策です。反映・主要操作・過去の侵害の有無は、それぞれ担当者と確認します。

対象と、修正を分けて確認する。

影響するバージョン・条件

Nextcloud向けの追加アプリCollabora Online - Built-in CODE Server（richdocumentscode）の26.4.303未満が対象です。単独で稼働するCollabora Onlineサーバーは、この問題の対象ではないと開発元が説明しています。Nextcloudを使っている全社・全構成を一律に対象とせず、追加アプリの有無、版、構成を照合してください。

修正版・更新先

対象アプリを26.4.303以上へ更新するか、アプリを削除することが開発元の案内です。無効化しただけでは対策になりません。削除を選ぶ場合も、文書編集や関連機能への影響、利用者への案内、必要なバックアップを保守担当者と確認して進めます。

あわせて知っておきたいこと

Nextcloud 29以前のサポート終了版について、開発元はNextcloud自体を更新するか、当該アプリを削除するよう案内しています。EOL（イー・オー・エル）はサポート終了のことです。更新先は、利用するNextcloudとの互換性や現在のサポート状況も含めて担当者に確認してください。

確認日以降に、新しい修正や案内が出る場合があります。適用時は保守担当者が最新の公式情報と照合してください。

担当者と、何から進める？

1. 01

   追加アプリの有無と版を照合する

   管理会社へ、Nextcloudの版と、richdocumentscodeが入っているか、入っているなら何版かを聞きます。「現在使っていない」「無効化済み」も区別して記録し、その報告だけで対策完了とは扱いません。

2. 02

   更新か削除か、業務への影響と戻し方を相談

   文書編集を続ける必要があるかを整理し、更新・削除それぞれの影響を確認します。ファイルや設定などのバックアップと復元方法、停止の要否・時間、対応工数、担当者を事前に決めます。一時的な公開範囲の制限が必要かも、保守担当者へ相談してください。

3. 03

   本番とは別の環境で確かめる

   試験用のファイルを使い、更新する場合は文書の閲覧・編集・保存・共有と権限を確認します。削除する場合は、文書編集が使えなくなる範囲と、残す業務が動くかを確認。問題が起きた時の復旧方法も別の環境で確かめます。

4. 04

   反映と通常操作、過去の影響を分けて確認

   本番で修正版が反映されたか、または対象アプリが削除されたかを確認し、主要操作と残る課題を記録します。過去の不正アクセスが疑われる場合は、ログなどの記録を保全し、調査担当者へ相談してください。更新・削除が済んだことだけで、過去の侵害がなかったとは判断しません。

保守会社に、このまま聞けます。

Nextcloud向けCollabora Online - Built-in CODE Server（richdocumentscode）のCVE-2026-110447について、当社のアプリ利用有無、版、構成を確認してください。無効化だけで対応を終えていないか、26.4.303以上への更新または削除のどちらを選ぶかを相談したいです。Nextcloud自体のサポート状況、変更範囲、バックアップ・復元、本番と別の環境でのテスト、停止時間・工数・戻し方も教えてください。

停止時間・費用・戻し方まで含む確認文をコピーする →