在 Nextcloud 裡用 Collabora Online 開啟簡報檔的編輯畫面截圖 — 示意圖：Nextcloud Office（Collabora Online）的編輯畫面，與本次攻擊無關。Collabora Productivity Limited，Valerio Bozzolan 截圖，CC BY-SA 4.0，Wikimedia Commons。

資安NextcloudCISA KEV

自架 Nextcloud 當公司雲端硬碟的注意：線上 Office 外掛「Built-in CODE Server」漏洞已遭利用，停用不算，要升級到 26.4.303 或移除

趨勢新聞2026 年 10 月 28 日

Nextcloud 是可以架在自己主機上的雲端硬碟軟體，有些公司拿它取代 Google 雲端硬碟放共用檔案；Collabora Online 則讓人在 Nextcloud 裡直接線上編輯 Word、Excel 檔。這次出事的是其中一種裝法：外掛「Collabora Online – Built-in CODE Server」（套件名 richdocumentscode），讓沒有另架文件伺服器的 Nextcloud 也能線上編輯。版本低於 26.4.303 的，只要內建文件伺服器沒在執行（例如重啟或當掉後），攻擊者不用登入就能在主機上執行指令、留下後門，9 月起已有管理者回報被入侵。美國網路安全暨基礎設施安全局（CISA）10 月 23 日（美國時間）把它列進已遭利用漏洞目錄。該做的事：請管 Nextcloud 的同事或外包廠商，到應用程式清單找這個外掛，升級到 26.4.303 以上或移除；Collabora 的公告寫，只按「停用」不夠。

我會不會受影響？

沒用 Nextcloud：這個漏洞與你無關。受影響的只有這一個 Nextcloud 外掛。
用 Nextcloud，但沒裝這個外掛：Collabora 的公告寫，另外架設的 Collabora Online 伺服器不受影響。Nextcloud 論壇使用者另列幾種不受影響的情況：只裝 Nextcloud Office（richdocuments）去連外部伺服器、Collabora 用 Docker 或 Linux 套件另外架、用 Collabora 代管服務（文中舉 IONOS、Hostinger 等）。
有裝、版本低於 26.4.303：受影響。開發者在回覆裡說，這種會自己下載文件伺服器的裝法「比較少見」，也只影響 Collabora 的開發版（CODE）。

確認方法：Nextcloud 管理員登入後，到「應用程式」頁搜尋這個外掛的名稱，看版本號。攻擊只在內建文件伺服器沒在執行的空檔打得進去，例如主機或容器重啟、升級，或伺服器當掉之後。本站的讀法：主機總有重啟的時候，這個條件不能當成安全的理由。

從修補到列入目錄，隔了 42 天

Collabora 9 月 11 日 13:43（UTC）發布修補版 26.4.303，版本說明只列出內附文件伺服器套件（AppImage）的版本，沒有提到資安修正。約 70 分鐘後，一位自稱管理多台 Nextcloud 伺服器的使用者在 GitHub 回報遭入侵：最早的攻擊紀錄在 9 月 10 日，攻擊者在外掛目錄留下 shx 開頭的 PHP 檔，這是網頁後門（web shell，放在網站裡、讓人遠端下指令的小程式）；其中一台的攻擊者接著搜尋密碼管理器與加密貨幣錢包的檔案。10 月 3 日 Nextcloud 社群論壇有使用者發文提醒盡快更新；CVE 紀錄把這篇貼文標為廠商公告，但發文者不是論壇的官方人員。CVE 編號（漏洞的國際統一編號）與 Collabora 的安全公告到 10 月 14 日才公開，距離修補 33 天。9 月 29 日 GitHub 上有留言說勒索軟體業者也開始利用，沒有附證據。

該怎麼處理

Collabora 的公告寫：「只停用這個外掛不足以避開問題，必須升級到 26.4.303 以上或移除」（It is not sufficient to disable the app to avoid the problem, it must be upgraded to >= 26.4.303 or removed，本站譯）。還在用已停止支援的 Nextcloud 29 及更舊版本的，要先升級 Nextcloud 或移除外掛，因為外掛從 26.4.302 起就要求 Nextcloud 30 以上。開發者帳號 mmeeks 在 GitHub 回覆，升級之外還要刪掉殘留的 shx 開頭 PHP 檔。原回報者則提醒，後門以網頁伺服器的系統帳號執行，這個帳號讀得到、改得到的資料都要當作可能外洩或被改過。10 月 16 日有使用者回報，Nextcloud 內建的完整性檢查在外掛目錄標出一個多出來的後門檔。Collabora 的公告與 mmeeks 的回覆，都沒有提供完整的入侵調查流程。

技術細節：為什麼只在伺服器沒跑的時候

漏洞類型是作業系統指令注入：程式把外面送進來的文字直接拼進系統指令，對方就能把自己的指令夾帶進去。這個外掛的 proxy.php 在內建伺服器沒執行時，會用 PHP 組一段指令把它啟動。本站比對 26.4.302 與 26.4.303 的原始碼，修補只改了這段：舊版把含請求網址的字型設定參數放進 bash -c "…" 的雙引號字串，新版改用 escapeshellarg() 把整段指令包起來。本站的讀法：雙引號裡的 $(…) 仍會被 shell 執行，網址裡夾帶的指令就在啟動那一刻跑起來；伺服器已在執行時不走這段。GitHub 回報中的攻擊請求送往 /apps/richdocumentscode/proxy.php?status。公告另寫，這和 2025 年 12 月公開的 CVE-2025-66208 是不同路徑，舊修補擋不住。CVE 紀錄給的 CVSS 4.0 評分（0 到 10 分的嚴重度分數）是 9.2，並寫這個漏洞在 2026 年 9 月與 10 月遭到利用，沒有寫攻擊者是誰。

美國聯邦機關的期限

CISA 的已遭利用漏洞目錄（Known Exploited Vulnerabilities，簡稱 KEV）只收已確認有人實際攻擊的漏洞。期限依約束性作業指令 BOD 26-04 訂定，只約束美國聯邦文職行政部門機關（本站 10 月 18 日寫過這套三天期限），這筆的期限是 10 月 26 日。條目要求依原廠指示處置、沒有緩解辦法就停用產品，由機關逐一評估資產是否對外暴露；這筆另標要做鑑識初判，也就是修補之外還要查系統是否已遭入侵。勒索軟體欄寫「未知」。

原文 CISA 警示〈CISA Adds One Known Exploited Vulnerability to Catalog〉（2026-10-23），列入日期與 BOD 26-04 適用對象取自此頁； KEV 條目 CVE-2026-110447，期限、鑑識初判欄與勒索軟體欄取自 CISA 的 KEV JSON 資料檔（2026.10.26 版）； Collabora 安全公告 GHSA-g3vx-3m76-fghh（2026-10-14），受影響條件、修補版本、停用不夠與 Nextcloud 29 的說明取自此頁； CVE.org 紀錄與 NVD 頁面，CVSS 評分、「9 月與 10 月遭利用」的描述、公開日期與 CISA 評估取自此處； richdocumentscode 的發布紀錄與 26.4.302 與 26.4.303 的差異，發布時間、版本說明與修補內容取自此處； GitHub issue #354〈Security issue - Hack〉，攻擊紀錄、後門檔名與開發者回覆取自此頁； Nextcloud 社群論壇〈To Collabora Built-in User: Update ASAP〉，使用者警示、不受影響情況與完整性檢查回報取自此頁； CVE-2025-66208 紀錄，舊漏洞的修補版本與公開日期取自此處。