Uma falha crítica na aplicação opcional Collabora Online - Built-in CODE Server para Nextcloud permite a qualquer pessoa executar comandos de sistema no servidor sem autenticação. É explorada desde pelo menos 10 de setembro; a Collabora publicou o aviso, CVE-2026-110447, apenas a 14 de outubro.
O que aconteceu
Em 14 de outubro de 2026, a Collabora publicou o aviso CVE-2026-110447 (CVSS 4.0: 9,2): uma injeção de comandos sem autenticação no proxy.php da aplicação Nextcloud Collabora Online - Built-in CODE Server (richdocumentscode). Esta aplicação executa uma suíte de escritório no mesmo servidor do Nextcloud, sem uma instalação Collabora separada. Um pedido manipulado basta para executar um comando de sistema com os direitos do utilizador do servidor web.
O aviso chegou tarde; os ataques, muito antes. Logo a 11 de setembro, um administrador que aloja vários servidores Nextcloud relatou na página GitHub da aplicação intrusões bem-sucedidas desde a véspera, com registos de 10 de setembro. Outros descreveram depois o aparecimento de ficheiros PHP chamados shx…php na instalação e tentativas falhadas de sudo. A versão corrigida, 26.4.303, saiu a 11 de setembro.
Quem é afetado
Qualquer instância Nextcloud com a aplicação Built-in CODE Server numa versão anterior à 26.4.303. A falha só pode ser explorada enquanto o servidor de escritório integrado não está em execução: após reiniciar o contentor, uma atualização ou uma falha. Desativar a aplicação não chega, avisa a Collabora: é preciso atualizá-la ou removê-la. Os servidores Collabora Online autónomos não são afetados.
O que fazer agora
- Verifique se a aplicação está presente:
sudo -u www-data php occ app:list | grep richdocumentscode. - Atualize-a para 26.4.303 ou posterior (
occ app:update richdocumentscode) ou remova-a (occ app:remove richdocumentscode). No Nextcloud 29 ou anterior, já sem suporte, atualize o Nextcloud ou retire a aplicação. - Procure webshells:
find /var/www/nextcloud -name 'shx*.php'e depoisocc integrity:check-core. Apague qualquer ficheiro encontrado. - Analise os registos do servidor web desde 10 de setembro: pedidos ao
proxy.phpda aplicação vindos de endereços desconhecidos e processos estranhos a correr comowww-data. - Se havia um webshell, considere o servidor comprometido: a conta do servidor web consegue ler o
config.php. Mude a senha da base de dados, os segredos e as senhas de administrador, e de preferência reconstrua o servidor.
A nossa opinião
Um complemento opcional instalado com um clique passa a fazer parte da superfície de ataque de todo o Nextcloud. Mantenha um inventário das aplicações realmente usadas, remova as restantes e não espere por um número CVE para aplicar uma atualização que a comunidade já descreve como correção de segurança.
Fontes
- Collabora Online — Unauthenticated OS command injection in the richdocumentscode proxy (GHSA-g3vx-3m76-fghh)
- GitHub — richdocumentscode issue #354: Security issue - Hack
- The Hacker News — Hackers Backdoor Nextcloud Servers Through Critical Flaw in Collabora’s Built-in CODE App
Como escolhemos, verificamos e escrevemos nossas análises →
O seu próprio servidor está exposto? Faça um teste gratuito — apenas informações públicas, sem intrusão:
Preocupado com a exposição dos seus servidores? Nossa equipe audita, corrige e monitora infraestruturas Linux e cloud 24/7.
Fale com um especialista Nossos serviços de gestão de servidores →
