Em 23 de outubro de 2026, a CISA incluiu o CVE-2026-110447 no catálogo KEV, que reúne vulnerabilidades com exploração conhecida. O problema atinge o app opcional richdocumentscode do Nextcloud em versões anteriores à 26.4.303. Para corrigir, a Collabora recomenda atualizar o app ou removê-lo: desativá-lo não basta.

Como a falha pode ser explorada

Uma solicitação sem autenticação a proxy.php pode executar comandos do sistema operacional com as permissões do usuário do servidor web, segundo a Collabora. Isso pode ocorrer quando o servidor CODE integrado está parado, por exemplo durante uma reinicialização, uma atualização ou após uma falha.

O limite de versão é do app, não do Nextcloud: richdocumentscode anterior à 26.4.303 está vulnerável. A versão 26.4.303 corrige a falha.

Como corrigir o richdocumentscode

Atualize o app para a versão 26.4.303 ou posterior, ou remova-o. Desativá-lo não elimina o problema porque o endpoint vulnerável continua presente. Para instalações com Nextcloud 29 ou anterior, a Collabora recomenda atualizar o Nextcloud ou remover o app, já que essas versões não podem instalar o aplicativo corrigido.

Quais instalações Collabora ficam fora do escopo

O CVE-2026-110447 não afeta servidores independentes do Collabora Online. A CERT Polska também exclui instalações do Nextcloud Office (richdocuments) conectadas a um servidor Collabora externo.

A Collabora distingue essa falha do CVE-2025-66208: corrigir o problema anterior não impede a exploração do CVE-2026-110447. A NeoTeo já abordou a distinção entre os dois CVEs e o CODE integrado ao Nextcloud.

A quem se aplica a diretriz da CISA

A BOD 26-04, citada pela CISA, se aplica somente às agências civis do Poder Executivo federal dos Estados Unidos, conhecidas como FCEB. Para essas agências, a diretriz prioriza a correção rápida de CVEs listados no KEV em ativos expostos publicamente que possam conceder controle total após a exploração, adia vulnerabilidades de risco menor e prevê verificações básicas para identificar possível comprometimento antes da aplicação do patch. O prazo indicado para as agências FCEB é 26 de outubro de 2026.

Para as demais organizações, a CISA recomenda gestão de vulnerabilidades baseada em risco e prioridade para falhas do KEV. A diretriz federal não se aplica a administradores brasileiros.

O que verificar no servidor

Em 20 de outubro, a CERT Polska afirmou que a falha estava sendo usada em ataques de ransomware e para assumir o controle de servidores. O órgão recomenda investigar três indicadores:

  • arquivos shx*.php no diretório apps/richdocumentscode;
  • registros de acesso com solicitações a proxy.php?status que contenham %2e%2e, $( ou ${IFS};
  • tentativas de executar sudo pela conta do servidor web.

A CERT Polska apresenta esses sinais como pistas para investigação. Um deles, isoladamente, não confirma uma invasão. O alerta do CERT Polska também recomenda atualizar o app para 26.4.303 ou posterior.