Nextcloud, Collabora CODE: la CVE-2026-110447 entra nel KEV

Il 14 ottobre ARX News ha trattato la CVE-2026-110447, la OS command injection nell’app Collabora Online – Built-in CODE Server (richdocumentscode) per Nextcloud, sfruttata per installare web shell PHP. Il 23 ottobre 2026 la CISA l’ha inserita nel catalogo Known Exploited Vulnerabilities (KEV), che raccoglie le vulnerabilità di cui l’agenzia ha prove di sfruttamento attivo. Lo stesso giorno è stata aggiornata la scheda di NVD. Di seguito le novità rispetto al primo articolo.

Cosa cambia con l’inserimento nel KEV

Nel primo articolo lo sfruttamento era documentato dall’avviso del CERT.LV e dalle segnalazioni di amministratori raccolte dalla stampa specializzata. Ora anche la CISA considera la vulnerabilità sfruttata.

La scheda del KEV si intitola «Collabora Online – Built-in CODE Server OS Command Injection Vulnerability» e chiede di:

• applicare le mitigazioni secondo le istruzioni del produttore, seguendo la direttiva BOD 26-04 della CISA sulla priorità degli aggiornamenti in base al rischio e i suoi requisiti di triage forense («Forensics Triage Requirements»);
• per i servizi cloud, seguire la stessa direttiva oppure smettere di usare il prodotto se le mitigazioni non sono disponibili;
• valutare l’esposizione a Internet di ogni sistema.

Per le agenzie federali statunitensi la scadenza è il 26 ottobre 2026, tre giorni dopo l’inserimento. Il termine non vale per le aziende europee, ma indica la priorità che la CISA assegna alla vulnerabilità.

La scheda non descrive gli attacchi: non indica vittime, attori né indicatori di compromissione. Alla voce sull’uso in campagne ransomware riporta «Unknown», cioè non noto. Resta quindi senza conferma quanto alcuni utenti avevano scritto su gruppi ransomware che sfrutterebbero la falla, come già precisato nel primo articolo.

I dettagli della scheda NVD

La scheda NVD della CVE-2026-110447, pubblicata il 14 ottobre e modificata l’ultima volta il 23, è in stato «Deferred»: NVD ha rinviato la propria analisi e non ha assegnato un suo punteggio. Resta quello fornito da MITRE, CVSS 4.0 9.2 (critico), con vettore AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Significa: attacco dalla rete, bassa complessità, nessun privilegio e nessuna interazione dell’utente; impatto alto su riservatezza, integrità e disponibilità del sistema vulnerabile, nessun impatto indicato sui sistemi successivi. Il valore AT:P (requisiti d’attacco presenti) è coerente con la condizione già nota: il server CODE integrato non deve essere in esecuzione. La debolezza è classificata CWE-78 (OS command injection).

La descrizione di NVD aggiunge tre elementi:

• lo sfruttamento è avvenuto a settembre e a ottobre 2026, quindi anche dopo l’uscita della versione corretta, l’11 settembre;
• la vulnerabilità è diversa dalla CVE-2025-66208: sono due identificativi distinti;
• la falla si trova in proxy.php e si presenta quando il server CODE non è in esecuzione, per esempio subito dopo un riavvio del prodotto; i server Collabora Online installati a parte non sono colpiti, solo questa modalità con il CODE Server integrato.

La versione corretta indicata da NVD coincide con quella del primo articolo: 26.4.303; sono vulnerabili tutte le precedenti.

Tra i riferimenti, oltre alla scheda del KEV, NVD collega la segnalazione n. 354 nel repository GitHub CollaboraOnline/richdocumentscode e la discussione del forum di Nextcloud intitolata «To Collabora built-in user: update ASAP».

Impatto per le aziende europee e italiane

Con l’inserimento nel KEV, la vulnerabilità entra nelle liste di priorità di chi segue il catalogo della CISA. Il primo articolo aveva osservato che, senza un identificativo CVE, la falla era sfuggita per settimane a scanner e processi di gestione delle vulnerabilità: ora ha una CVE, un punteggio e la conferma dello sfruttamento da parte di un’agenzia governativa. Visto che lo sfruttamento è proseguito a ottobre, chi non ha ancora aggiornato deve considerare possibile una compromissione già avvenuta.

Per i soggetti che rientrano nella NIS2 vale quanto già scritto: la gestione delle vulnerabilità sfruttate fa parte delle misure di sicurezza e una compromissione va valutata per la notifica allo CSIRT Italia dell’ACN. Se sul server ci sono dati personali, e in sanità dati sanitari, si applicano anche gli obblighi del GDPR sulle violazioni dei dati.

Cosa fare subito

1. Verifica se usi l’app richdocumentscode su tutte le istanze Nextcloud, comprese quelle di test. Le installazioni con un server Collabora Online separato non sono colpite.

2. Aggiorna alla 26.4.303 o successiva. Se l’app non ti serve, rimuovila: come riportato nel primo articolo, il produttore avverte che disattivarla non basta.

3. Non confondere le CVE: se nei tuoi strumenti compare la CVE-2025-66208, trattala a parte; la CVE-2026-110447 è un’altra vulnerabilità.

4. Fai il triage forense, come chiede anche la CISA, su tutto il periodo da settembre a oggi:

   • richieste verso proxy.php dell’app nei log del server web, soprattutto dopo riavvii e aggiornamenti;
   • file PHP estranei a Nextcloud, anche con occ integrity:check-core e occ integrity:check-app;
   • processi e connessioni in uscita insoliti dell’utente del server web.

   Aggiornare non elimina una web shell già installata.

5. Se trovi tracce: isola il server, cambia le credenziali in config.php e i segreti salvati sul server, poi valuta gli obblighi di notifica.

Come aiuta ARXDOME

ARX Shield elenca le vulnerabilità aperte sulle macchine monitorate, con quelle già sfruttate in evidenza, e permette di isolare dalla rete una macchina sospetta. Su computer e server con l’agent di ARXDOME, ARX Sentry controlla l’integrità dei file nelle cartelle stabilite: includendo quelle di Nextcloud, la comparsa di nuovi file PHP diventa un evento da analizzare. ARX Expose mostra quali servizi della tua azienda sono visibili da Internet.

Ultimo aggiornamento: 23 ottobre 2026