CVE-2026-110447 riguarda l’app Nextcloud integrata richdocumentscode nelle versioni precedenti alla 26.4.303. CISA l’ha aggiunta il 23 ottobre 2026 al catalogo delle vulnerabilità sfruttate note (KEV), sulla base di prove di sfruttamento attivo. Chi amministra un server interessato deve aggiornare l’app o rimuoverla: disattivarla non basta.
Quale configurazione è vulnerabile
La falla consente a una richiesta non autenticata diretta a proxy.php di eseguire comandi sul sistema operativo con i privilegi dell’utente del server web. La condizione è che il server CODE integrato non sia in esecuzione, per esempio durante un riavvio, un aggiornamento o dopo un arresto anomalo. Collabora identifica come vulnerabile l’app Collabora Online - Built-in CODE Server, richdocumentscode, nelle versioni anteriori alla 26.4.303.
La soglia riguarda la versione dell’app, non quella di Nextcloud: non basta quindi controllare il numero di versione della piattaforma. Il 20 ottobre 2026 CERT Polska ha segnalato lo sfruttamento della vulnerabilità in attacchi ransomware e tentativi di prendere il controllo dei server.
Come intervenire su richdocumentscode
Collabora indica due rimedi: aggiornare richdocumentscode alla versione 26.4.303 o successiva, oppure rimuoverla. La semplice disattivazione lascia presente il file proxy.php vulnerabile.
Chi usa Nextcloud 29 o una versione precedente deve aggiornare Nextcloud oppure rimuovere l’app, perché su quelle versioni non è possibile installare la versione corretta di richdocumentscode.
Quali installazioni Collabora sono escluse
CVE-2026-110447 non riguarda i server Collabora Online autonomi né le installazioni Nextcloud Office (richdocuments) collegate a un server Collabora esterno. La vulnerabilità interessa il server CODE integrato nell’app richdocumentscode.
Collabora distingue questo percorso d’attacco da CVE-2025-66208: correggere la vulnerabilità precedente non impedisce lo sfruttamento di CVE-2026-110447. Per il contesto sull’avviso precedente, leggi il precedente approfondimento di NeoTeo.
A chi si applica la direttiva CISA
La direttiva federale BOD 26-04 riguarda le agenzie civili del ramo esecutivo federale statunitense (FCEB). La scadenza indicata da CISA per queste agenzie è il 26 ottobre 2026. La direttiva dà priorità alle vulnerabilità del catalogo KEV presenti su risorse esposte pubblicamente che consentono il controllo totale dopo lo sfruttamento; prevede di rinviare quelle a rischio inferiore e richiede verifiche di base per individuare eventuali compromissioni prima di applicare la patch. CISA invita anche le altre organizzazioni a dare priorità alle vulnerabilità elencate nel KEV.
Quali indicatori controllare
CERT Polska consiglia di cercare file shx*.php nella directory apps/richdocumentscode e di esaminare i log di accesso per richieste a proxy.php?status che contengono %2e%2e, $( o ${IFS}. Raccomanda inoltre di controllare eventuali tentativi di eseguire sudo dall’account del server web. Sono indicatori utili per avviare un’indagine su una possibile compromissione.
