ONLYOFFICE Docs CVE-2021-3199: path traversal e RCE sfruttata

L’8 ottobre 2026 la CISA ha aggiunto al catalogo Known Exploited Vulnerabilities (KEV) la CVE-2021-3199, una vulnerabilità di ONLYOFFICE Document Server, il server che apre e modifica i documenti di ONLYOFFICE Docs. Un path traversal nell’endpoint /upload permette di arrivare all’esecuzione di codice da remoto sul server. La gravità è critica: CVSS 3.1 9.8.

La vulnerabilità è pubblica da gennaio 2021 e riguarda le versioni precedenti alla 5.6.3. L’ingresso nel catalogo KEV indica che la CISA ha prove di sfruttamento attivo: le installazioni rimaste indietro vanno aggiornate con priorità.

Cosa è successo

La CISA ha inserito la CVE-2021-3199 nel KEV con la descrizione “ONLYOFFICE Docs Server Path Traversal Vulnerability” e ha fissato all’11 ottobre 2026 la scadenza per le agenzie federali statunitensi: tre giorni. Nel catalogo l’uso in campagne ransomware è indicato come “sconosciuto”.

L’avviso chiede di applicare le mitigazioni secondo le istruzioni del produttore, nel rispetto della direttiva BOD 26-04 sulla priorità degli aggiornamenti in base al rischio e dei requisiti di triage forense della CISA. Per i servizi cloud valgono le indicazioni della stessa direttiva; se le mitigazioni non sono disponibili, il prodotto va dismesso. L’avviso chiede anche di valutare l’esposizione su Internet di ogni sistema.

La CISA non fornisce dettagli sugli attacchi osservati, sugli autori o sulle vittime.

Dettagli tecnici

• CVE: CVE-2021-3199, pubblicata il 26 gennaio 2021. La scheda NVD è stata aggiornata il 9 ottobre 2026.
• Prodotto e versioni: ONLYOFFICE Document Server prima della 5.6.3 (configurazione CPE: onlyoffice document_server < 5.6.3). Tra i riferimenti della scheda c’è il changelog della versione 5.6.3.
• Meccanismo: secondo la descrizione NVD, una sequenza /.. inserita in un parametro del caricamento delle immagini, nell’endpoint /upload, porta fuori dalla cartella prevista (directory traversal) e consente l’esecuzione di codice da remoto. La descrizione precisa che il problema si presenta quando è in uso JWT, il meccanismo di token con cui il server dei documenti autentica le richieste.
• Gravità: CVSS 3.1 9.8 (critica), AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, sia nella valutazione del NIST sia in una seconda valutazione riportata nella scheda. Il vettore indica un attacco via rete, di bassa complessità, senza privilegi e senza interazione dell’utente, con impatto alto su riservatezza, integrità e disponibilità. In CVSS 2 il punteggio è 7.5 (alta).
• Debolezza: CWE-22 (limitazione impropria di un percorso a una cartella riservata, cioè path traversal).
• Codice pubblico: tra i riferimenti la scheda NVD elenca due script di prova pubblici su GitHub (poc_uploadImageFile.py), classificati come “Exploit”. I dettagli per sfruttare la vulnerabilità sono quindi disponibili a chiunque.
• MITRE ATT&CK: per un server raggiungibile da Internet lo sfruttamento corrisponde alla tecnica T1190, Exploit Public-Facing Application.

Impatto per le aziende europee e italiane

Il server dei documenti elabora i file che gli utenti aprono e modificano nel browser: contratti, offerte, documenti del personale. Chi esegue codice su quel server può arrivare ai documenti che vi transitano e, a seconda di come è installato, usarlo come punto d’appoggio verso il resto della rete. Se tra i documenti ci sono dati personali, un accesso non autorizzato può configurare una violazione secondo il GDPR, da valutare per la notifica al Garante entro 72 ore.

L’età della vulnerabilità non la rende meno rilevante. Le installazioni in sede vengono spesso configurate una volta e poi dimenticate, oppure sono gestite da un fornitore esterno insieme alla piattaforma di condivisione dei file: per questo versioni vecchie di anni possono essere ancora in produzione. L’inserimento nel KEV dice che qualcuno le sta cercando.

Per i soggetti NIS2 la vulnerabilità rientra nella gestione delle vulnerabilità e nella sicurezza della catena di fornitura: le installazioni gestite da terzi vanno verificate con il fornitore. Un incidente significativo va notificato al CSIRT nazionale, che in Italia è lo CSIRT Italia dell’ACN. Nella sanità, dove i documenti contengono spesso dati sulla salute, una compromissione del server dei documenti ha conseguenze più gravi e la verifica va fatta senza attendere.

Cosa fare subito

1. Fai l’inventario: individua tutte le istanze di ONLYOFFICE Document Server, comprese quelle installate insieme ad altre piattaforme o gestite da fornitori, e la versione di ciascuna.
2. Aggiorna: porta ogni istanza almeno alla 5.6.3, la versione che la scheda NVD indica come limite, e preferibilmente all’ultima versione supportata dal produttore.
3. Riduci l’esposizione: limita l’accesso al server dei documenti a chi ne ha davvero bisogno; se non deve essere raggiungibile da tutto Internet, chiudilo dietro la VPN o il proxy inverso.
4. Se non puoi aggiornare subito: segui le istruzioni del produttore, come chiede la CISA; se le mitigazioni non sono disponibili, scollega il servizio.
5. Rileva: cerca nei log del server web e del proxy inverso richieste a /upload con sequenze /.., anche codificate, nei parametri. Controlla i file creati o modificati fuori dalle cartelle di lavoro del server dei documenti e i processi insoliti avviati dall’utente del servizio.
6. Se trovi tracce di sfruttamento: isola il server, conserva log e immagini del disco per l’analisi forense prima di reinstallare, e cambia le chiavi e i segreti configurati sul server, compreso il segreto JWT.

Come aiuta ARXDOME

ARX Shield mostra le vulnerabilità aperte per macchina e per pacchetto e mette in evidenza quelle già sfruttate dagli attaccanti, come le CVE del catalogo KEV; se un server è sospetto, permette di isolarlo dalla rete. ARX Expose controlla i servizi che la tua azienda espone su Internet, i prodotti riconosciuti e le loro vulnerabilità note. ARX Sentry raccoglie log ed eventi dai server e controlla l’integrità dei file nelle cartelle stabilite, così le scritture fuori posto restano visibili.

Ultimo aggiornamento: 8 ottobre 2026