A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) incluiu a CVE-2026-110447 no catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) em 23 de outubro de 2026, citando exploração ativa. A falha afeta o app opcional Collabora Online - Built-in CODE Server, usado no Nextcloud: desativá-lo não basta para proteger a instalação.
A NeoTeo já havia acompanhado relatos ligados à exploração do CODE integrado em uma cobertura anterior sobre falhas do Nextcloud e do Collabora. A inclusão no KEV acrescenta uma data de correção para órgãos federais dos EUA e reforça a necessidade de identificar a versão do app.
A data da CISA vale para órgãos federais dos EUA
O catálogo da CISA indica 26 de outubro como prazo associado à diretriz BOD 26-04, que se aplica às agências civis do Poder Executivo federal dos Estados Unidos. Para as demais organizações, a agência recomenda priorizar as vulnerabilidades incluídas no KEV.
A falha está no app integrado, não em todo servidor Collabora
A CVE-2026-110447 é uma injeção de comandos no sistema operacional sem autenticação. Uma solicitação a proxy.php pode executar comandos com as permissões do usuário do servidor web quando o servidor CODE integrado não está em execução, como após uma reinicialização, atualização ou pane. O aviso da Collabora classifica a vulnerabilidade como crítica e atribui a ela pontuação 9,2 no CVSS 4.0.
A falha afeta versões do aplicativo richdocumentscode anteriores à 26.4.303. O limite se refere à versão do app, não à versão do Nextcloud. A Collabora afirma que servidores independentes do Collabora Online não são afetados.
Atualize o app ou remova-o
A Collabora recomenda atualizar o richdocumentscode para a versão 26.4.303 ou posterior, ou remover o app. Desativá-lo no Nextcloud, por si só, não corrige a falha. Para instalações com Nextcloud 29 ou anterior, a empresa recomenda atualizar a plataforma ou remover o aplicativo.
Relatos de incidentes e indicadores para verificar
Em um boletim publicado em 16 de outubro, a ACN / CSIRT Italia relatou o comprometimento de um servidor Nextcloud na Itália. Nesse caso, o invasor instalou três web shells, arquivos que permitem executar comandos no servidor, e roubou um arquivo de configuração com credenciais do banco de dados e da caixa de e-mail de serviço, além de segredos de aplicativos.
A CERT Polska recomenda procurar arquivos shx*.php em apps/richdocumentscode, verificar nos registros de acesso solicitações suspeitas a proxy.php?status que contenham %2e%2e, $( ou ${IFS}, e conferir tentativas de executar comandos sudo pela conta do servidor web.
Em um aviso publicado em 20 de outubro, a CERT Polska afirmou que a falha era usada em ataques de ransomware. Na observação de 24 de outubro, o campo da CISA sobre uso conhecido em ransomware aparecia como “Unknown”.
