チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「社内で使っているNextcloudは、今回の脆弱性の対象なの？」
「修正版が出ていたのに、なぜ1か月以上も悪用されたの？」
チップスボス、Nextcloudのサーバーに裏口を仕掛けられる攻撃が起きてるって聞いたでしゅ！
ボスCollaboraの「内蔵CODEサーバー」というアプリの脆弱性だ。認証なしで外からOSのコマンドを実行できる。
チップス修正版は9月に出てたのに、CVE番号が付いたのは10月って本当でしゅか……。
ボス本当だ。番号がない間、多くの管理者は危険に気づけなかった。そこが今回の一番の問題だな。
Nextcloudは、ファイル共有や共同編集の基盤として企業や自治体、大学でも使われています。
この記事では、悪用されたCVE-2026-110447の仕組みと、修正から公表までの空白が招いたリスク、管理者がとるべき対応を整理します。
3行で分かるニュースのポイント
読み終えるころには、自社のNextcloudが影響を受けるかどうかと、確認すべき痕跡が分かるはずです。
オススメ求人・フリーランス案件
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
対象は、Nextcloudに追加できるオプションのアプリに限られます。
GitHub Advisory Databaseによると、CVE-2026-110447はNextcloud向けアプリ「Built-in CODE Server」（richdocumentscode）の脆弱性です。
proxy.phpに細工したリクエストを送ると、OSコマンドを注入されるおそれがあります。
CVSS v4.0の基本値は9.2で、深刻度は緊急に分類されています。
脆弱性の概要は以下の通りです。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-110447 |
| 対象 | Collabora Online – Built-in CODE Server（richdocumentscode） |
| 影響を受けるバージョン | 26.4.303より前 |
| 修正版 | 26.4.303以降 |
| CVSS v4.0 | 9.2 |
認証も利用者の操作も不要ですが、攻撃が成立するのはCODEサーバーが停止している間に限られます。
再起動や更新、クラッシュの直後などがその状態にあたります。
BleepingComputerによると、修正のコミットは9月9日、修正版26.4.303の公開は9月11日でした。
ところが、正式なアドバイザリとCVEが公開されたのは10月14日です。
経緯は以下の通りです。
| 日付 | 出来事 |
|---|---|
| 9月9日 | 修正をコミット |
| 9月11日 | 修正版26.4.303を公開 |
| 9月中旬 | 管理者の報告によると、攻撃が始まる |
| 10月3日 | コミュニティで注意喚起 |
| 10月14日 | 正式なアドバイザリとCVEを公開 |
CVE番号がない間は、脆弱性スキャナーやパッチ管理の仕組みで危険を検知しにくくなります。
修正版はあっても、番号がないために管理者が問題を特定し、対処の優先度を判断しにくい状態が続いたことになります。
侵入後の動きからは、攻撃者が認証情報を狙っていたことが分かります。
攻撃者は、脆弱性を突いてサーバーにPHPのWebシェルを設置しました。
そのWebシェルを使って、以下のようなファイルを探していたと報告されています。
ランサムウェアの攻撃者が悪用したとの報告もありますが、BleepingComputerは独自に確認できていないとしています。
Webシェルが残っている限り、修正版に更新した後も攻撃者は出入りできてしまいます。
そのため、更新とあわせて侵入の痕跡を確認する必要があります。
影響を受けるのは、Nextcloudにオプションの内蔵CODEサーバーアプリを入れている環境だけです。
単体のCollabora Onlineサーバーや、Docker、RPMやDEBのパッケージで導入した環境、Nextcloud All-in-Oneは対象外とされています。
内蔵CODEサーバーを使っている管理者は、以下の対応を進めましょう。
特に、サーバー上にパスワードや鍵を保存している場合は、漏れた前提で切り替えることが大切です。
Nextcloud向けの内蔵CODEサーバーに、認証なしでOSコマンドを実行できる脆弱性CVE-2026-110447が見つかり、悪用されています。
修正版は9月に出ていましたが、CVEの公開までに33日かかり、その間に攻撃が始まっていました。
内蔵CODEサーバーを使っている場合は、26.4.303以降への更新とWebシェルの確認をすぐに行いましょう。
CVE番号が付くのを待たず、ソフトの更新情報そのものを追う体制も見直したいところです。
ボスCVE番号が出るまで待っていては遅い。使っているソフトの更新履歴は自分で追え。
チップスうちのNextcloudも、今日中に確認しましゅ！
オススメ求人・フリーランス案件
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
