Publicado em 14 de outubro de 2026, um aviso da GitHub Advisory Database diferencia CVE-2026-110447 de CVE-2025-66208 e situa a exploração da primeira em setembro e outubro de 2026. A falha atinge o app integrado richdocumentscode do Nextcloud. A NeoTeo já havia noticiado uma falha no app Collabora do Nextcloud.
A falha está no CODE integrado ao Nextcloud
O aviso descreve uma injeção de comandos no sistema operacional em proxy.php, capaz de permitir execução remota quando o servidor CODE local não está em execução. O componente afetado é o app opcional Collabora Online - Built-in CODE Server, identificado como richdocumentscode; o aviso diz que servidores independentes do Collabora Online não são afetados.
O que os relatos de web shells descrevem
Pasquale Pillitteri relata que invasores enviaram requisições GET sem autenticação a /apps/richdocumentscode/proxy.php?status, com trechos codificados de travessia de diretório e substituição de comandos. Segundo a reportagem, a carga instalava uma web shell PHP no diretório do app e enviava a saída de uname -a para um endereço do webhook.site. A shell executava com as permissões do usuário do servidor web, geralmente www-data. Relato dos ataques e indicadores
Pillitteri descreve três relatos públicos: shells encontradas em vários servidores com a versão 26.4.302, um arquivo PHP malicioso sinalizado por uma verificação de integridade e mensagens sobre tentativas malsucedidas de sudo. A reportagem afirma que o total de servidores afetados é desconhecido.
Atualizar o app não remove uma shell já instalada
O texto do aviso situa as versões afetadas antes da 26.4.303. Pillitteri relata que a versão 26.4.303 ou posterior corrige a falha e recomenda atualizar o richdocumentscode ou removê-lo. Desativar o app não fecha a vulnerabilidade, e a atualização não apaga uma shell que já tenha sido instalada. Para quem usa Nextcloud 29 ou anterior, Pillitteri orienta atualizar a plataforma ou remover o app.
O The Hacker News também publicou no X um alerta recomendando atualizar ou remover o app:
Como verificar a instalação
Pillitteri recomenda procurar os padrões shx*.php e shrf*.php no diretório do app e revisar os registros de acesso desde 10 de setembro, verificando chamadas a proxy.php?status e os padrões suspeitos relatados. Se uma shell for encontrada, a orientação é trocar os segredos que possam ser lidos pelo usuário do servidor web.
