Nextcloud Collabora CVE-2026-110447: command injection senza credenziali nell'app Built-in CODE, webshell su un server in Italia

Su un server Nextcloud compromesso in Italia attraverso la CVE-2026-110447, l'attaccante ha installato tre webshell e ha prelevato un file di configurazione con le credenziali di un database locale e di una casella di posta di servizio, oltre a chiavi e segreti applicativi. Il caso, documentato da ACN il 16 ottobre 2026 in un proprio bollettino, riguarda un server che erogava un servizio documentale e conferma lo sfruttamento attivo di una OS command injection con CVSS v4.0 pari a 9.2 nell'app Collabora Online - Built-in CODE Server (richdocumentscode). L'app fa girare una copia di Collabora Online Development Edition (CODE) sullo stesso server di Nextcloud, così da modificare i documenti nel browser senza installare un server Collabora separato, e la falla sta nel suo script proxy.php. Quando arriva una richiesta e il servizio CODE locale non è in ascolto, lo script lo avvia; fino alla versione 26.4.302 costruiva il comando di avvio inserendo parti della richiesta, percorso compreso, in una stringa interpretata dalla shell, e un comando nascosto nell'indirizzo veniva eseguito senza autenticazione con i privilegi dell'utenza del web server. Per questo l'attacco riesce solo quando CODE è fermo, per esempio dopo un riavvio, un aggiornamento o un crash: una condizione che riduce le occasioni utili senza fermare chi riprova in automatico.

La correzione è uscita in silenzio. Collabora l'aveva scritta il 20 agosto, l'ha pubblicata nel repository del progetto il 9 settembre e l'ha distribuita l'11 settembre con la versione 26.4.303, le cui note di rilascio non parlano di sicurezza. Il primo attacco documentato è della sera del 10 settembre, il giorno dopo la comparsa del codice corretto. L'11 settembre un amministratore ha descritto nel repository GitHub dell'app più server violati, con richieste a proxy.php contenenti comandi offuscati, una webshell PHP di una riga scritta nella cartella dell'app e una notifica inviata al servizio webhook.site con i dati del sistema. Su uno dei server l'attaccante aveva poi cercato database di password manager e wallet di criptovalute. Altri due amministratori hanno segnalato lo stesso attacco, scoperto uno con il controllo di integrità di Nextcloud e l'altro dalle email sui tentativi sudo falliti, e il 14 settembre i maintainer del progetto hanno confermato che la 26.4.303 chiude la falla. Advisory e CVE sono arrivati solo il 14 ottobre, con un ritardo che Collabora attribuisce all'arretrato di GitHub nella gestione delle CVE; l'advisory accredita la segnalazione a un utente GitHub. Per più di un mese chi aggiornava ha chiuso la falla senza saperlo, e chi rimandava non trovava nelle note di rilascio alcun motivo per affrettarsi.

Nessuna fonte attribuisce gli attacchi a un gruppo noto, e secondo ACN le evidenze sono compatibili con una campagna di sfruttamento automatizzata, tuttora attiva e condotta da più attori. Il numero dei server colpiti non è noto: Nextcloud ha dichiarato a BleepingComputer di non aver osservato uno sfruttamento diffuso, e la platea è più ristretta di quella di Nextcloud, perché i maintainer indicano il Built-in CODE come una modalità di installazione poco frequente e la descrizione ufficiale presenta l'app come server per test locali e uso non in produzione, adatto a uso personale o a piccoli team. Il caso italiano mostra però che la si trova anche su servizi in esercizio, e Nextcloud è adottato anche da amministrazioni pubbliche in Europa per tenere i documenti su server propri. A doversene preoccupare è chi gestisce un Nextcloud con l'app Built-in CODE, anche se l'ha disabilitata senza rimuoverla, perché proxy.php viene eseguito direttamente dal web server senza passare dal codice di Nextcloud; più di tutti chi è fermo a Nextcloud 29 o precedenti, fuori supporto, a cui l'app store propone ancora una versione vulnerabile. Chi ha tenuto esposta su internet una versione vulnerabile dal 10 settembre in poi deve considerare l'istanza potenzialmente compromessa e verificarla anche dopo l'aggiornamento: le credenziali sottratte restano utilizzabili per altri accessi finché non vengono cambiate, anche se nel caso italiano, secondo ACN, non sono emerse evidenze di accesso ai documenti né di movimenti laterali. Il caso Nextcloud si aggiunge alle campagne con compromissioni in Italia documentate da ACN nelle ultime settimane: quella sui server di posta Zimbra, di cui abbiamo scritto in un nostro precedente alert del 5 ottobre, e quella dei defacement di siti Joomla, trattata in un nostro precedente alert del 17 settembre.

• Versioni affette: Collabora Online - Built-in CODE Server per Nextcloud (richdocumentscode) precedenti alla 26.4.303, anche con l'app disabilitata ma non rimossa, comprese le versioni che l'app store distribuisce ancora per Nextcloud 29 e precedenti. Secondo Collabora non sono interessati i server Collabora Online installati separatamente (Docker, pacchetti RPM e DEB) e Nextcloud All-in-One; restano fuori anche le istanze di Nextcloud Office collegate a un server Collabora esterno, compresi i servizi in hosting.
• Azione raccomandata: aggiornare richdocumentscode alla 26.4.303 o successive oppure rimuoverlo, perché la sola disabilitazione non basta; con Nextcloud 29 o precedenti aggiornare Nextcloud almeno alla 30 oppure rimuovere l'app; se la 26.4.402, ultima disponibile, dà problemi di avvio, la 26.4.303 resta la versione indicata dall'advisory; valutare il passaggio a un server Collabora separato. L'aggiornamento non elimina una compromissione già avvenuta: eseguire il controllo di integrità di Nextcloud, cercare nella cartella dell'app file PHP non attesi, in particolare con nomi che iniziano per shx o shrf, e rivedere almeno dal 10 settembre i log del web server e del reverse proxy, alla ricerca di richieste anomale a proxy.php, e quelli di sistema, alla ricerca di tentativi sudo dell'utenza del web server; in caso di riscontro isolare il sistema, conservare le evidenze, ruotare le credenziali del database e della posta di servizio, le chiavi e i segreti applicativi, ed estendere le verifiche alle risorse raggiungibili con quelle credenziali.

Fonti: ACN, Collabora, GitHub, The Hacker News, BleepingComputer