Il 14 ottobre 2026 Collabora pubblica un avviso per la vulnerabilità CVE-2026-110447, che interessa le versioni di richdocumentscode precedenti alla 26.4.303. L’app Nextcloud è il Collabora Online - Built-in CODE Server: disattivarla non basta, perché Collabora prescrive di aggiornarla o rimuoverla (avviso di sicurezza).
Quale installazione è coinvolta
La falla riguarda l’app facoltativa Built-in CODE, non Nextcloud Office in generale. Collabora afferma che i server Collabora Online autonomi non sono interessati da questa vulnerabilità.
La falla consente a una richiesta senza autenticazione diretta a proxy.php di eseguire comandi del sistema operativo con i privilegi dell’utente del server web, ma solo quando il server CODE integrato non è in esecuzione. Può accadere, per esempio, durante un riavvio o un aggiornamento, oppure dopo un arresto anomalo.
Come correggere la falla
Collabora indica come soluzione l’aggiornamento di richdocumentscode alla versione 26.4.303 o successiva oppure la rimozione dell’app. La versione 26.4.303 è stata rilasciata l’11 settembre 2026, secondo il record della release.
Per chi usa Nextcloud 29 o una versione precedente, Collabora raccomanda di aggiornare Nextcloud oppure rimuovere l’app. In questo modo la correzione non dipende dalla sola disattivazione del componente vulnerabile.
Le segnalazioni di attacco e le date
The Hacker News riferisce che i log degli amministratori mostrano attività d’attacco dal 10 settembre 2026, il giorno prima della pubblicazione della versione corretta. La testata riporta inoltre le testimonianze di tre amministratori che hanno segnalato compromissioni; il dato riguarda le loro segnalazioni, non un conteggio complessivo dei server colpiti (resoconto di The Hacker News). Collabora ha pubblicato l’avviso sulla vulnerabilità il 14 ottobre.
