Em 14 de outubro de 2026, a Collabora publicou um alerta sobre a CVE-2026-110447, uma falha crítica no aplicativo opcional Collabora Online - Built-in CODE Server do Nextcloud. Versões do pacote richdocumentscode anteriores à 26.4.303 são afetadas, e desativar o aplicativo não basta: a orientação é atualizá-lo ou removê-lo. Aviso de segurança da Collabora
Qual instalação é afetada
A falha está no aplicativo opcional richdocumentscode, exibido no Nextcloud como Collabora Online - Built-in CODE Server. Uma requisição sem autenticação a proxy.php pode executar comandos no sistema operacional com os privilégios do usuário do servidor web quando o servidor CODE integrado não está em execução — por exemplo, durante uma reinicialização ou atualização, ou após uma falha.
A falha não afeta servidores independentes do Collabora Online, segundo a Collabora. O problema diz respeito à implantação integrada do Built-in CODE, não ao Nextcloud Office por si só.
Como corrigir o richdocumentscode
A Collabora indica atualizar o aplicativo para a versão 26.4.303 ou posterior, ou removê-lo. O registro de lançamento confirma que a versão 26.4.303 foi publicada em 11 de setembro de 2026. Registro de lançamento da versão 26.4.303
Para instalações com Nextcloud 29 ou anterior, a orientação da Collabora é atualizar o Nextcloud ou remover o aplicativo. Desativá-lo, por si só, não elimina a vulnerabilidade.
Relatos de ataques e cronologia
O The Hacker News relatou que registros de administradores apontaram atividade de ataque a partir de 10 de setembro de 2026, um dia antes do lançamento da versão corrigida. A reportagem também reuniu relatos de comprometimento de três administradores. The Hacker News
