CVE-2026-110447: web shell su server Nextcloud via app Collabora Built-in CODE

• Falla CVE-2026-110447 in Collabora Built-in CODE per Nextcloud, sfruttata da settembre per installare web shell
• Colpite le versioni precedenti alla 26.4.303; l'attacco funziona solo con il server CODE fermo
• Disattivare l'app non basta: aggiornare alla 26.4.303 o rimuoverla
• Cercare file shx*.php e controllare i log da almeno il 10 settembre

Alcuni aggressori hanno sfruttato una vulnerabilità nell’app opzionale Collabora Online – Built-in CODE Server (pacchetto richdocumentscode) per installare web shell su server Nextcloud. Tre amministratori hanno segnalato il problema su GitHub. Il primo attacco registrato risale al 10 settembre. Il 14 ottobre Collabora ha pubblicato l’advisory con l’identificativo CVE-2026-110447.

Come funziona la falla

L’app scarica una copia di Collabora Online Development Edition (CODE) e la esegue sul server Nextcloud stesso, così Nextcloud Office può modificare documenti senza un server Collabora separato. Nella scheda dello store è indicata per test locali, uso personale o piccoli team.

Lo script proxy.php avvia il server CODE locale quando arriva una richiesta e nessun servizio è in ascolto. Fino alla versione 26.4.302 inseriva testo della richiesta, percorso compreso, in un comando bash tra doppi apici, dove la shell esegue ciò che è scritto come $(...). Una richiesta non autenticata con un comando nascosto nel percorso poteva quindi eseguire quel comando con i privilegi dell’utente del web server.

Il comando viene costruito solo quando il server deve essere avviato. L’attacco funziona perciò solo se il server documentale è fermo: durante un riavvio del container, un upgrade o dopo un crash.

Chi è coinvolto

L’advisory riguarda tutte le versioni precedenti alla 26.4.303. I server Collabora Online standalone non sono interessati. Secondo un avviso sul forum della community Nextcloud del 3 ottobre, non sono colpite nemmeno le installazioni che usano solo l’app Nextcloud Office (richdocuments) senza l’app integrata, sia con Collabora in Docker, da pacchetto Linux o presso un hosting provider.

Le versioni corrette richiedono Nextcloud 30 o successivo. Nextcloud 29 e precedenti sono a fine vita e lo store continua a offrire loro una versione vulnerabile. La correzione per un’altra command injection nello stesso script, CVE-2025-66208 (dicembre scorso), non protegge da questa falla.

Cosa hanno fatto gli attaccanti

Il primo amministratore, che gestisce più server, ha rilevato richieste il 10 e l’11 settembre da uno stesso indirizzo IP, dirette a proxy.php?status. Tutti i suoi server usavano la 26.4.302. Il comando scriveva nella cartella dell’app una web shell PHP di una riga e provava a inviare l’output di uname -a a un indirizzo webhook.site.

Su un server l’attaccante ha poi cercato archivi di credenziali e wallet di criptovalute, tra cui file *.kdbx, wallet.dat, keystore.json e nomi legati a Bitwarden, 1Password, Bitcoin, Electrum, Monero ed Ethereum. Nelle richieste esaminate non risultano comandi che archiviassero o copiassero file all’esterno, ma tutto ciò che l’account del web server può leggere va considerato potenzialmente esposto.

Gli altri due amministratori hanno scoperto l’intrusione tramite il controllo di integrità di Nextcloud, che ha segnalato un nuovo file PHP, e tramite email su tentativi di sudo falliti. Nessuna segnalazione indica un’escalation a root. Il record CVE parla di sfruttamento in the wild a settembre e ottobre 2026; il numero di server colpiti non è noto.

Cosa fare

• Aggiornare richdocumentscode alla 26.4.303 o successiva, oppure rimuovere l’app. Disattivarla non basta.
• Su Nextcloud 29 o precedenti, aggiornare Nextcloud o rimuovere l’app.
• Anche dopo l’update, cercare file shx*.php a partire da apps/richdocumentscode ed eliminarli.
• Controllare i log di accesso almeno dal 10 settembre per richieste a proxy.php?status con %2e%2e, $( o ${IFS} nel percorso, e cercare tentativi di sudo dell’account del web server.
• Considerare esposto tutto ciò che l’account del web server poteva leggere.

La versione 26.4.402 del 24 settembre riscrive il comando di avvio, ma alcuni amministratori riferiscono problemi di avvio o apertura dei documenti e sono tornati alla 26.4.303, indicata dall’advisory come correttiva. Al 14 ottobre non risultava una release più recente.

Una correzione senza avviso

La modifica che chiude la falla è di quattro righe in proxy.php: il comando viene passato a bash come singolo argomento con escape. Secondo la cronologia del repository, è stata scritta il 20 agosto da Caolán McNamara, assente nella 26.4.302 del 31 agosto e inserita il 9 settembre. La 26.4.303 è uscita l’11 settembre con note di rilascio che citano solo la build CODE inclusa. Il 3 ottobre un utente del forum ha avvisato che la falla era già sfruttata e che non esistevano avvisi né CVE. L’advisory accredita come segnalatore l’utente GitHub wwwshellcodeit, ma non indica quando sia arrivata la segnalazione.

Indicatori di compromissione (IoC)

shrf4645[.]php
shxa35d0[.]php
shx5cf91[.]php
shxd33ce[.]php
shxf4645[.]php
shx13a86[.]php
shx56367[.]php
4b9fbd0663fbfd6028fc216ed18e0d6ef3ae498a7fdc97083e4b0ce3cec40562
/apps/richdocumentscode/proxy.php?status
139.28[.]18[.]122
89.38[.]98[.]50
webhook[.]site
45060ed4-de0b-4119-8f0d-2a2776bbd413
774cf5e1-b5a4-4174-a1ad-0241861029a2

Fonte: The Hacker News · Foto: The Hacker News