INFORMATIONお知らせ

平素より弊社サービスをご利用いただき、誠にありがとうございます。

Nextcloud 向けアプリ「Collabora Online - Built-in CODE Server（richdocumentscode）」に深刻な脆弱性が公表されており、国内外で悪用が確認されています。
弊社サーバーで Nextcloud をご利用のお客様は、下記をご確認のうえ、
早急な更新または該当アプリの削除をお願いいたします。

■ 脆弱性の概要Nextcloud の内蔵 Collabora Online サーバー機能を提供するアプリ
「Collabora Online - Built-in CODE Server（richdocumentscode）」の proxy.php に、
OS コマンドインジェクションの脆弱性があります。

内蔵 CODE サーバーが停止・再起動中などの状態において細工したリクエストを送られると、
ログインしていない第三者に、サーバー上で任意のコマンドやプログラムを実行されるおそれがあります。

・識別番号：CVE-2026-110447／GHSA-g3vx-3m76-fghh
・深刻度　：CVSS v4.0 基本値 9.2

■ 影響を受けるバージョン・Collabora Online - Built-in CODE Server（richdocumentscode）26.4.303 未満

※ Nextcloud 本体を最新バージョンにしていても、richdocumentscode アプリが 26.4.303 未満の場合は対象となります。
※ 過去の脆弱性（CVE-2025-66208）への対応で更新済みの場合も、26.4.303 未満であれば今回の対象となります。
※ richdocumentscode アプリをインストールしていない環境、および外部のスタンドアロン版 Collabora Online サーバーをご利用の場合は対象外です。

■ 対策Nextcloud のアプリ管理画面から、開発元が公開している修正版へ更新してください。
・Collabora Online - Built-in CODE Server（richdocumentscode）26.4.303 以降

修正版（26.4.303 以降）の利用には Nextcloud 30 以降が必要です。
Nextcloud 29 以前をご利用の場合は、Nextcloud 本体をサポート中のバージョンへ更新したうえでアプリを更新するか、下記のとおり該当アプリを削除してください。

あわせて、すでに脆弱なバージョンを公開状態で運用されていた場合は、apps/richdocumentscode/ 配下などに身に覚えのない .php ファイルや不審な cron 設定が追加されていないかご確認ください。

■ すぐに更新できない場合・ご利用でない場合（暫定策）開発元の案内により、管理画面でアプリを「無効化」するだけでは、
公開領域上のスクリプトへ外部から到達できるため対策になりません。
すぐに更新できない場合や本機能をご利用でない場合は、アプリを削除（アンインストール）し、サーバー上に次のディレクトリが残っていないことをご確認ください。
　（Nextcloud設置先）/apps/richdocumentscode/

■ 参考情報・開発元アドバイザリ（GHSA-g3vx-3m76-fghh）：https://github.com/CollaboraOnline/online/security/advisories/GHSA-g3vx-3m76-fghh
・Nextcloud App Store：https://apps.nextcloud.com/apps/richdocumentscode

Nextcloud および各種アプリはお客様ご自身で設置・管理いただくアプリケーションのため、
更新・削除および設置ファイルの確認はお客様ご自身でお願いいたします。
具体的な手順は、開発元の案内をご確認ください。


今後とも弊社サービスをよろしくお願いいたします。