Nextcloud: web shell tramite falla critica in Collabora CODE

Una vulnerabilità critica nell’app Collabora Online – Built-in CODE Server (richdocumentscode) per Nextcloud viene sfruttata per installare web shell sui server. La falla è tracciata come CVE-2026-110447: secondo il CERT.LV ha un punteggio CVSS di 9.2, consente l’esecuzione di comandi del sistema operativo senza autenticazione ed è già usata in attacchi reali. The Hacker News e BleepingComputer riportano che i server compromessi sono stati dotati di backdoor.

L’aspetto più rilevante per chi gestisce Nextcloud è la tempistica: la versione corretta è disponibile dall’11 settembre, ma l’avviso e la CVE sono arrivati solo il 14 ottobre. Secondo BleepingComputer, gli attacchi erano cominciati già a metà settembre.

Dettagli tecnici

• Componente: l’app opzionale Built-in CODE Server, che avvia un server Collabora integrato dentro Nextcloud. La falla si trova nel meccanismo con cui l’app avvia questo server, nel file proxy.php.
• Tipo: OS command injection. Una richiesta costruita ad arte verso proxy.php fa eseguire comandi arbitrari sul server, con i privilegi del processo che serve Nextcloud.
• Requisiti: nessuna autenticazione e nessuna interazione dell’utente. La condizione necessaria è che il server CODE integrato non sia in esecuzione, come capita dopo un riavvio, un aggiornamento o un crash.
• Versioni colpite: richdocumentscode 26.4.302 e precedenti. Corretta: 26.4.303 e successive.
• Non colpiti, secondo Collabora (citata da BleepingComputer): i server Collabora Online installati a parte, le installazioni Docker e da pacchetti RPM/DEB e Nextcloud All-in-One.

La condizione sul server fermo non va sottovalutata: riavvii e aggiornamenti sono operazioni di routine, quindi ogni istanza con l’app vulnerabile resta esposta a ogni manutenzione.

Cosa hanno fatto gli attaccanti

Le informazioni sugli attacchi vengono dalle segnalazioni di alcuni amministratori, raccolte da BleepingComputer:

• i primi attacchi a più server risalgono al 10 settembre;
• dopo l’accesso sono state caricate web shell PHP;
• le web shell sono state usate per cercare database di password, file di password manager e wallet di criptovalute.

Alcuni utenti parlano anche di gruppi ransomware che sfrutterebbero la falla, ma BleepingComputer precisa di non averlo potuto verificare. Le fonti non riportano indicatori di compromissione pubblici, come indirizzi IP o nomi dei file delle web shell.

Le tecniche MITRE ATT&CK corrispondenti alla catena descritta sono T1190 (Exploit Public-Facing Application), T1059.004 (Unix Shell), T1505.003 (Web Shell) e T1552.001 (Credentials In Files).

Una correzione rimasta senza CVE per un mese

La cronologia ricostruita da BleepingComputer:

• 9 settembre: la correzione viene inserita nel codice;
• 11 settembre: esce la versione 26.4.303;
• metà settembre: i manutentori avvisano e cominciano gli attacchi;
• 3 ottobre: un avviso della comunità invita ad aggiornare subito, visto che gli attacchi sono in corso;
• 14 ottobre: escono il bollettino di sicurezza, l’avviso su GitHub e la CVE.

Nextcloud ha detto a BleepingComputer di aver ricevuto la segnalazione da Collabora a metà settembre e di aver distribuito l’aggiornamento dall’app store. Ha giustificato l’attesa con la volontà di lasciare agli utenti il tempo di aggiornare, aggiungendo di non aver osservato uno sfruttamento diffuso. Collabora, invece, attribuisce il ritardo soprattutto agli arretrati di GitHub nell’assegnazione delle CVE, aggravati dal numero crescente di segnalazioni prodotte con l’IA.

Senza un identificativo CVE, scanner e processi di gestione delle vulnerabilità non hanno segnalato il problema. Chi aggiorna le app di Nextcloud solo in base agli avvisi formali è rimasto scoperto per settimane.

Impatto per le aziende europee

Nextcloud è molto diffuso in Europa, anche tra enti pubblici e aziende che preferiscono tenere i file sui propri server. Una web shell su questi server dà accesso ai documenti condivisi e ai file di configurazione, e può diventare il punto di partenza per muoversi nella rete interna.

Per i soggetti che rientrano nella NIS2, se si scopre una compromissione bisogna valutare se l’incidente è significativo. In Italia, in quel caso, va inviata la notifica al CSIRT Italia entro le scadenze previste. Se sul server ci sono dati personali, e in sanità dati sanitari, si applicano anche gli obblighi del GDPR sulle violazioni dei dati.

Cosa fare subito

1. Verifica se usi l’app: cerca richdocumentscode tra le app installate. Se Collabora gira su un server a parte, via Docker o pacchetti, o se usi Nextcloud All-in-One, secondo Collabora non sei colpito.
2. Aggiorna alla 26.4.303 o successiva. Se l’app non ti serve, rimuovila: il produttore avverte che disattivarla non basta.
3. Cerca tracce di compromissione dal 10 settembre in poi. Aggiornare non elimina una web shell già installata:
   • nei log del server web, controlla le richieste verso proxy.php dell’app (cartella apps/richdocumentscode/), soprattutto dopo riavvii e aggiornamenti;
   • cerca file PHP che non fanno parte di Nextcloud nella cartella dell’installazione e in quelle scrivibili dal server web, e usa i controlli di integrità di Nextcloud (occ integrity:check-core e occ integrity:check-app);
   • controlla processi e connessioni in uscita insoliti dell’utente del server web.
4. Se trovi tracce: isola il server e cambia le credenziali che contiene, a partire dal database e dai servizi collegati in config.php. Considera compromessi anche i file di password e i segreti salvati sul server o nello spazio degli utenti. Poi valuta gli obblighi di notifica.
5. Non affidarti solo alle CVE: per le app esposte su internet, segui anche i canali del produttore (forum, note di rilascio, app store), che in questo caso hanno avvisato settimane prima.

Come aiuta ARXDOME

Su computer e server con l’agent di ARXDOME, ARX Sentry controlla l’integrità dei file nelle cartelle stabilite: se includi le cartelle di Nextcloud, la comparsa di file PHP nuovi diventa un evento da analizzare. ARX Shield mostra le vulnerabilità aperte per macchina, mettendo in evidenza quelle già sfruttate, e permette di isolare dalla rete una macchina sospetta. ARX Expose mostra quali servizi e prodotti della tua azienda sono visibili da internet.

Ultimo aggiornamento: 15 ottobre 2026