Nel post del 15 ottobre 2026, Collabora ha attribuito il ritardo nell’avviso formale per CVE-2026-110447 soprattutto ai tempi di elaborazione delle segnalazioni CVE su GitHub: da circa un giorno, ha detto, erano arrivati a molte settimane. L’azienda ha anche dichiarato che stava chiedendo di diventare una CNA, un’autorità che può assegnare identificativi CVE, così da poter inviare direttamente le segnalazioni. La falla riguarda l’app opzionale richdocumentscode di Nextcloud: Collabora raccomanda di aggiornarla alla versione 26.4.303 o successiva, oppure di rimuoverla. Nel suo blog, Collabora ha inoltre descritto il volume di segnalazioni di sicurezza che il team aveva esaminato e gestito nel 2026 come equivalente a circa dieci anni di lavoro.
Collabora ha indicato l’arretrato nella gestione delle CVE come fattore principale del ritardo e ha collegato il carico di segnalazioni, incluse quelle generate dall’IA, alla pressione sul processo. Separatamente, Nextcloud ha spiegato a BleepingComputer che voleva lasciare agli amministratori il tempo di aggiornare e che non aveva osservato uno sfruttamento diffuso. Sono le motivazioni riferite dalle due aziende.
Dalla correzione segnalata all’avviso
La cronologia distingue la correzione, le prime attività riferite dagli amministratori e la successiva pubblicazione dell’avviso. BleepingComputer ha riferito che la correzione era stata registrata il 9 settembre, che la prima data di attacco citata dagli amministratori era il 10 settembre e che la versione corretta era stata rilasciata l’11 settembre. Il suo resoconto riporta anche gli episodi descritti dagli amministratori.
| Data | Evento |
| 9 settembre 2026 | BleepingComputer riferì che Collabora aveva registrato la correzione. |
| 10 settembre 2026 | Prima data di attacco riferita dagli amministratori, secondo BleepingComputer. |
| 11 settembre 2026 | BleepingComputer riferì il rilascio di richdocumentscode 26.4.303. |
| 14 ottobre 2026 | Collabora pubblicò l’avviso di sicurezza per CVE-2026-110447. |
| 15 ottobre 2026 | Collabora pubblicò il post con la propria spiegazione del ritardo. |
Quale app è coinvolta e come intervenire
CVE-2026-110447 è una vulnerabilità di iniezione di comandi senza autenticazione nel percorso proxy.php dell’app opzionale Collabora Online - Built-in CODE Server, distribuita come richdocumentscode. Sono interessate le versioni precedenti alla 26.4.303. Il comando può essere eseguito con i privilegi dell’utente del server web quando il server CODE integrato non è in funzione, per esempio durante un riavvio o dopo un arresto anomalo. L’avviso di Collabora indica che disattivare l’app non basta: occorre aggiornare richdocumentscode alla versione 26.4.303 o successiva, oppure rimuoverla.
Collabora circoscrive il problema all’app integrata: dichiara non interessati i server Collabora Online autonomi, le immagini Docker, i pacchetti RPM/DEB e le immagini Nextcloud All-in-One. Per Nextcloud 29 o versioni precedenti, indicate come fuori supporto, la raccomandazione è aggiornare Nextcloud oppure rimuovere l’app. La correzione per CVE-2025-66208 non protegge da CVE-2026-110447. NeoTeo aveva già trattato la falla in un precedente approfondimento.
Che cosa hanno segnalato gli amministratori
BleepingComputer ha riferito che gli amministratori descrissero attacchi contro più endpoint, installazioni di web shell PHP e ricerche di archivi di credenziali e portafogli di criptovalute. La data più remota citata nei resoconti era il 10 settembre 2026.
