Il 14 ottobre 2026 la GitHub Advisory Database ha distinto CVE-2026-110447 da CVE-2025-66208 e ha segnalato attività di sfruttamento in settembre e ottobre 2026. La falla riguarda l’app integrata richdocumentscode di Nextcloud, non i server Collabora Online autonomi, secondo l’avviso di sicurezza.
Quale configurazione è interessata
CVE-2026-110447 è una vulnerabilità di command injection nel sistema operativo: quando il server CODE locale non è in esecuzione, proxy.php può consentire l’esecuzione remota di comandi. L’avviso circoscrive il problema all’app Nextcloud Collabora Online - Built-in CODE Server, richdocumentscode; dichiara invece non interessati i server Collabora Online autonomi.
L’avviso descrive come vulnerabili le versioni precedenti alla 26.4.303. Per il contesto sulla precedente segnalazione relativa all’app CODE, leggi il nostro articolo dedicato.
Che cosa succede dopo l’aggiornamento
Pasquale Pillitteri riferisce che aggressori hanno sfruttato l’app per installare web shell PHP, cioè file che possono consentire l’esecuzione di comandi sul server. Nel resoconto compaiono richieste non autenticate dirette a proxy.php?status e file creati nella directory dell’app; secondo Pillitteri, le shell agivano con i permessi dell’utente del server web, di solito www-data (il suo resoconto).
Il resoconto descrive tre segnalazioni pubbliche: shell trovate su più server con la versione 26.4.302, un file PHP malevolo rilevato da un controllo d’integrità e messaggi relativi a tentativi falliti di usare sudo. Sono casi segnalati dagli amministratori, non un conteggio dei server colpiti.
Secondo Pillitteri, aggiornare richdocumentscode alla versione 26.4.303 o successiva chiude la via vulnerabile, ma non elimina una shell installata in precedenza. La sola disattivazione dell’app non basta: la raccomandazione è aggiornarla o rimuoverla. The Hacker News ha rilanciato l’avviso con la stessa indicazione:
Come intervenire e controllare le shell
Pillitteri consiglia di cercare nella directory dell’app i file che corrispondono ai modelli shx*.php e shrf*.php, e di controllare i log di accesso dal 10 settembre per richieste a proxy.php?status e per le stringhe sospette descritte nel suo resoconto. Se viene trovata una shell, indica di cambiare i segreti accessibili all’utente del server web.
Per le installazioni con Nextcloud 29 o versioni precedenti, Pillitteri riferisce che l’app corretta non è installabile: suggerisce quindi di aggiornare Nextcloud oppure rimuovere richdocumentscode.
