Nextcloud: attaccanti installano webshell tramite l’app Built-in CODE Server di Collabora, da aggiornare o rimuovere subito

Una falla critica nell’app opzionale Collabora Online - Built-in CODE Server per Nextcloud consente a chiunque di eseguire comandi di sistema sul server senza autenticarsi. È sfruttata almeno dal 10 settembre; Collabora ha pubblicato l’avviso, CVE-2026-110447, solo il 14 ottobre.

Cosa è successo

Il 14 ottobre 2026 Collabora ha pubblicato l’avviso CVE-2026-110447 (CVSS 4.0: 9,2): un’iniezione di comandi senza autenticazione in proxy.php dell’app Nextcloud Collabora Online - Built-in CODE Server (richdocumentscode). L’app fa girare una suite per ufficio sullo stesso server di Nextcloud, senza un’installazione Collabora separata. Una richiesta manipolata basta per far eseguire un comando di sistema con i diritti dell’utente del server web.

L’avviso è arrivato tardi, gli attacchi molto prima. Già l’11 settembre un amministratore che ospita diversi server Nextcloud segnalava sulla pagina GitHub dell’app intrusioni riuscite dal giorno precedente, con log del 10 settembre. Altri hanno poi descritto la comparsa di file PHP chiamati shx…php nella loro installazione e tentativi falliti di sudo. La versione corretta, 26.4.303, è uscita l’11 settembre.

Chi è coinvolto

Ogni istanza Nextcloud con l’app Built-in CODE Server in una versione precedente alla 26.4.303. La falla è sfruttabile solo quando il server per ufficio integrato non è in esecuzione: dopo il riavvio del container, un aggiornamento o un crash. Disattivare l’app non basta, avverte Collabora: va aggiornata o rimossa. I server Collabora Online autonomi non sono coinvolti.

Cosa fare ora

1. Verificate se l’app è presente: sudo -u www-data php occ app:list | grep richdocumentscode.
2. Aggiornatela alla 26.4.303 o successiva (occ app:update richdocumentscode) oppure rimuovetela (occ app:remove richdocumentscode). Su Nextcloud 29 o precedenti, non più supportati, aggiornate Nextcloud o togliete l’app.
3. Cercate webshell: find /var/www/nextcloud -name 'shx*.php', poi occ integrity:check-core. Eliminate ogni file trovato.
4. Esaminate i log del server web dal 10 settembre: richieste al proxy.php dell’app da indirizzi sconosciuti e processi insoliti eseguiti come www-data.
5. Se c’era una webshell, considerate il server compromesso: l’account del server web può leggere config.php. Cambiate la password del database, i segreti e le password degli amministratori, e possibilmente ricostruite il server.

Il nostro parere

Un componente opzionale installato con un clic diventa parte della superficie d’attacco dell’intero Nextcloud. Tenete un inventario delle app davvero usate, rimuovete le altre e non aspettate un numero CVE per installare un aggiornamento che la comunità descrive già come correzione di sicurezza.

Fonti

• Collabora Online — Unauthenticated OS command injection in the richdocumentscode proxy (GHSA-g3vx-3m76-fghh)
• GitHub — richdocumentscode issue #354: Security issue - Hack
• The Hacker News — Hackers Backdoor Nextcloud Servers Through Critical Flaw in Collabora’s Built-in CODE App

Come scegliamo, verifichiamo e scriviamo le nostre analisi →