Il 23 ottobre 2026 CISA ha aggiunto CVE-2026-110447 al catalogo KEV delle vulnerabilità sfruttate attivamente. La falla interessa l’app opzionale richdocumentscode, il server Collabora CODE integrato in Nextcloud: sono vulnerabili le versioni precedenti alla 26.4.303.

Per il contesto sulle segnalazioni di attacchi alla CODE integrata, NeoTeo ha pubblicato un precedente approfondimento su Nextcloud.

A chi si applica il termine del 26 ottobre

Il termine del 26 ottobre indicato nella voce KEV è associato alla direttiva BOD 26-04, che si applica alle agenzie del Federal Civilian Executive Branch statunitense. CISA invita anche le altre organizzazioni a seguire una gestione del rischio basata sulle vulnerabilità e a dare priorità a quelle inserite in KEV.

Quale configurazione Nextcloud è interessata

La vulnerabilità consente a una richiesta non autenticata a proxy.php di eseguire un comando del sistema operativo con i privilegi dell’utente del server web, quando il server CODE integrato non è in esecuzione. La condizione può verificarsi, per esempio, dopo un riavvio, un aggiornamento o un arresto anomalo. Collabora assegna alla falla un punteggio CVSS 4.0 di 9,2, con gravità Critica.

Il problema riguarda richdocumentscode prima della versione 26.4.303. Collabora afferma che i server Collabora Online autonomi non sono interessati; CERT Polska esclude anche le installazioni di Nextcloud Office che usano soltanto un server Collabora esterno. Per Nextcloud 29 o versioni precedenti, Collabora consiglia di aggiornare Nextcloud oppure rimuovere l’app.

Come correggere l’installazione e cosa controllare

Collabora indica di aggiornare richdocumentscode alla versione 26.4.303 o successiva, oppure di rimuoverla. Disattivare l’app nella console di Nextcloud non basta.

Per un controllo mirato, CERT Polska consiglia di cercare:

  • file shx*.php nella directory apps/richdocumentscode;
  • richieste a proxy.php?status nei log di accesso che contengano %2e%2e, $( o ${IFS};
  • tentativi di eseguire comandi sudo dall’account del server web.

I riscontri sugli attacchi

Nel bollettino pubblicato il 16 ottobre, ACN / CSIRT Italia ha riferito un caso di compromissione di un server Nextcloud in Italia: l’attaccante ha installato tre web shell e sottratto un file di configurazione con credenziali del database e della casella di servizio, oltre a segreti applicativi.

Il 20 ottobre CERT Polska ha segnalato che la vulnerabilità veniva usata in attacchi ransomware. Nella voce CISA del 24 ottobre, il campo relativo all’uso noto di ransomware riportava «Unknown».