Nextcloud sotto attacco: falla Collabora CODE installa web shell senza login

🛡️ Executive Summary

• CVE-2026-110447 consente command injection senza autenticazione nell’app Collabora Online Built-in CODE Server per Nextcloud quando il server CODE locale non è attivo.
• La falla è stata sfruttata tra settembre e ottobre 2026 per installare web shell PHP e cercare credenziali, password manager e wallet crypto.
• Sono vulnerabili le versioni precedenti alla 26.4.303: disabilitare l’app non basta, deve essere aggiornata oppure rimossa completamente.

Server Nextcloud sono stati compromessi attraverso una vulnerabilità critica nell’app opzionale Collabora Online Built-in CODE Server, con attacchi osservati già dal settembre 2026. La falla CVE-2026-110447, valutata 9,2 con CVSS 4.0, permette a un aggressore remoto non autenticato di eseguire comandi sul sistema attraverso proxy.php quando il server CODE locale non è in esecuzione. Gli attaccanti hanno sfruttato questa finestra per depositare web shell PHP e mantenere accesso ai sistemi. Il perimetro deve però essere definito correttamente: non è vulnerabile Nextcloud in generale e non sono coinvolti i server Collabora Online standalone. Il problema riguarda specificamente l’app richdocumentscode nelle versioni precedenti alla 26.4.303.

CVE-2026-110447 sfrutta proxy.php quando il server CODE non è attivo

L’advisory di sicurezza pubblicato da Collabora per CVE-2026-110447 identifica una OS command injection nell’app Collabora Online – Built-in CODE Server, distribuita per Nextcloud con il package name richdocumentscode. Il componente permette di eseguire localmente Collabora Online Development Edition sullo stesso server Nextcloud, evitando la necessità di mantenere un’istanza Collabora separata. La vulnerabilità si manifesta nel percorso che avvia il server CODE: quando il processo locale non è già in esecuzione, per esempio dopo un riavvio, un aggiornamento o un crash, proxy.php costruisce il comando di startup utilizzando informazioni provenienti dalla richiesta HTTP. Nelle versioni fino alla 26.4.302, dati controllabili dall’esterno potevano finire dentro il comando shell e trasformarsi in istruzioni eseguite dal sistema. L’aggressore non ha bisogno di credenziali Nextcloud né dell’interazione di un utente. La condizione necessaria è però importante: il server CODE deve trovarsi nello stato nel quale proxy.php tenta di avviarlo. È quindi una RCE condizionata dallo stato del servizio, non un endpoint permanentemente sfruttabile in qualsiasi momento.

Leggi anche: Citrix NetScaler e Zimbra sotto attacco: root, web shell e furto credenziali

Gli attacchi installano web shell e cercano password manager e wallet

Il passaggio dalla vulnerabilità all’incidente è documentato nelle segnalazioni degli amministratori raccolte nel repository ufficiale di richdocumentscode. Il primo attacco registrato risale al 10 settembre 2026, quando richieste costruite contro proxy.php?status sono state utilizzate per eseguire comandi e depositare piccoli file PHP all’interno della directory dell’app. Le web shell consentivano successivamente di eseguire ulteriori istruzioni con i privilegi dell’account utilizzato dal web server. In almeno uno dei sistemi compromessi, l’attività osservata comprendeva ricerche rivolte a file e directory riconducibili a KeePass, Bitwarden, 1Password, Bitcoin, Electrum, Monero ed Ethereum, oltre a nomi come wallet.dat, keystore.json e file *.kdbx. Le evidenze pubblicate non dimostrano che quei contenuti siano stati effettivamente esfiltrati né mostrano un’escalation a root, quindi non sarebbe corretto attribuire agli aggressori capacità non documentate. Chi amministrava un sistema vulnerabile durante la finestra di attacco deve però considerare potenzialmente accessibile tutto ciò che l’account del web server era autorizzato a leggere. È la stessa differenza operativa già emersa quando AhsayCBS è stato sfruttato per depositare web shell e miner sui server compromessi: correggere il bug non elimina automaticamente ciò che è stato installato prima dell’aggiornamento.

La patch era disponibile dall’11 settembre ma l’advisory arriva un mese dopo

Collabora ha corretto il problema con richdocumentscode 26.4.303, pubblicata l’11 settembre, un giorno dopo il primo attacco documentato. La disclosure formale e l’assegnazione di CVE-2026-110447 sono però arrivate il 14 ottobre. Il caso introduce quindi anche un problema di vulnerability disclosure: per settimane una versione corretta era disponibile senza che tutti gli amministratori avessero necessariamente un’indicazione esplicita della presenza di una vulnerabilità sfruttata in the wild. La modifica interveniva sulla costruzione del comando di avvio di coolwsd, impedendo alla shell di interpretare come comandi i dati provenienti dalla richiesta. La CVE specifica inoltre che si tratta di una vulnerabilità distinta da CVE-2025-66208, precedente command injection nello stesso componente, e che la vecchia correzione non protegge dal nuovo percorso. Il ritardo tra disponibilità della patch e disclosure pubblica assume particolare peso negli ambienti server esposti: la recente ondata contro SonicWall, Atlassian e sistemi di backup ha già mostrato quanto la finestra tra vulnerabilità riproducibile e exploitation reale possa ridursi fino a ore o giorni.

Disabilitare Built-in CODE non basta: deve essere aggiornato o rimosso

La remediation contiene un dettaglio insolito e importante: disabilitare semplicemente l’app da Nextcloud non elimina la vulnerabilità. Collabora prescrive l’aggiornamento almeno alla 26.4.303 oppure la rimozione completa di richdocumentscode. Gli amministratori che utilizzano soltanto Nextcloud Office con un server Collabora separato, eseguito attraverso Docker, pacchetto Linux o hosting esterno, non rientrano nel perimetro descritto dalla CVE. La versione corretta dell’app richiede inoltre Nextcloud 30 o successivo; gli ambienti Nextcloud 29 e precedenti, ormai fuori supporto, devono quindi aggiornare la piattaforma oppure rimuovere Built-in CODE. In presenza dell’app vulnerabile durante settembre e ottobre il lavoro non deve fermarsi alla versione installata oggi: vanno controllate la directory apps/richdocumentscode, le richieste rivolte a proxy.php?status, eventuali nuovi file PHP e l’attività dell’account web server. Il problema richiama il principio già emerso con le vulnerabilità WordPress, Fortinet e OpenSSL capaci di trasformare componenti esposti in punti di esecuzione remota: patching e incident response sono due attività differenti.

Continua con:

Citrix NetScaler e Zimbra sotto attacco: root, web shell e furto credenziali

Ahsay, SonicWall e Atlassian sotto attacco: Cisco corregge Nexus

Nextcloud non è il bug: il rischio nasce dal componente incorporato nel server

Il caso CVE-2026-110447 va letto evitando l’errore più semplice: trasformarlo in una generica “falla critica di Nextcloud”. Il core Nextcloud non è indicato come vulnerabile e i server Collabora Online standalone non sono interessati. La superficie nasce dall’integrazione opzionale Built-in CODE, pensata soprattutto per installazioni locali, testing, uso personale e piccoli team. Proprio questa caratteristica rende però il caso significativo: un componente installato per semplificare l’architettura porta sullo stesso host applicazione, document server e codice PHP direttamente raggiungibile dal web, ampliando il numero di percorsi che devono essere mantenuti e verificati. La compromissione osservata dimostra inoltre che anche un exploit disponibile soltanto durante restart, upgrade o crash può essere sufficiente quando gli attaccanti scandagliano continuamente i servizi esposti. La finestra vulnerabile non deve essere permanente per essere utile: deve soltanto aprirsi nel momento in cui qualcuno sta già bussando alla porta.