CVE-2026-110447: sfruttata falla critica in Collabora CODE per Nextcloud, CSIRT Italia

• Sfruttata CVE-2026-110447 (CVSS v4.0 9.2) in richdocumentscode, componente di Nextcloud
• Compromesso un server in Italia: tre webshell e furto di un file di configurazione
• Campagna automatizzata, attiva e condotta da più attori
• Aggiornare alla 26.4.303 o rimuovere il componente; ruotare credenziali e segreti

Il CSIRT Italia ha rilevato, nel contesto nazionale, la compromissione di un server Nextcloud avvenuta sfruttando la vulnerabilità CVE-2026-110447, classificata come critica. Il difetto riguarda il componente Collabora Online – Built-in CODE Server (richdocumentscode), usato per la modifica collaborativa di documenti.

Le evidenze raccolte sono compatibili con una campagna di sfruttamento automatizzata, ancora attiva e condotta da più attori. La fonte non attribuisce gli attacchi a gruppi specifici.

La vulnerabilità

Si tratta di una OS Command Injection con punteggio CVSS v4.0 pari a 9.2. Dipende da una convalida errata dei parametri di input nel file proxy.php. Un attaccante remoto non autenticato può inviare richieste HTTP costruite ad arte e far eseguire comandi di sistema con i privilegi dell’utenza del web server.

Lo sfruttamento è possibile quando il servizio CODE integrato non è in esecuzione, per esempio dopo un riavvio, un aggiornamento o un arresto anomalo. Il problema riguarda solo questa modalità di distribuzione. I server Collabora Online installati separatamente non sono interessati.

Cosa è successo nell’incidente analizzato

L’attaccante ha colpito un server Nextcloud usato per erogare un servizio documentale. Ha installato tre webshell e ha prelevato un file di configurazione. Il file conteneva credenziali di un database locale e di una casella di posta di servizio, oltre a chiavi e segreti applicativi.

Risulta l’esecuzione di un solo comando di verifica tramite una delle webshell. Al momento non ci sono evidenze di accesso ai documenti degli utenti, di privilegi amministrativi ottenuti, di persistenza ulteriore o di movimenti laterali.

Le credenziali sottratte potrebbero però consentire accessi successivi alle risorse collegate, nei limiti dei permessi delle utenze compromesse.

Versioni interessate

• Collabora Online – Built-in CODE Server per Nextcloud (richdocumentscode), versioni precedenti alla 26.4.303.

Cosa fare

• Aggiornare richdocumentscode a una versione corretta, a partire dalla 26.4.303.
• Se non è possibile aggiornare, rimuovere il componente. Disabilitarlo dall’interfaccia di Nextcloud non basta.
• Per le installazioni Nextcloud non più supportate, passare a una versione supportata e compatibile con il componente corretto, oppure rimuovere richdocumentscode.
• Verificare l’integrità del core di Nextcloud e delle app, cercando file non autorizzati e webshell, anche nella directory del componente. Correlare i risultati con i log di web server, reverse proxy e strumenti di sicurezza, per individuare richieste anomale a proxy.php.
• In caso di compromissione, isolare i sistemi e conservare le evidenze prima della bonifica, compatibilmente con il contenimento. Estendere i controlli alle altre istanze e alle risorse raggiungibili con le credenziali esposte.
• Da un ambiente attendibile, ruotare credenziali tecniche, password delle utenze di servizio e segreti applicativi. Sostituire le chiavi compromesse e, se serve, i certificati. Controllare usi non autorizzati delle utenze di database e posta.
• Per i sistemi compromessi, valutare la ricostruzione da fonti attendibili e il ripristino dei soli dati verificati.

Hardening consigliato

Il CSIRT raccomanda inoltre di limitare l’esposizione su Internet alle sole funzioni necessarie. Gli accessi amministrativi vanno riservati a reti di gestione dedicate, con VPN dove previsto. Servono segmentazione di rete, minimo privilegio per le utenze di web server, database e posta, con credenziali distinte, e log centralizzati con monitoraggio dell’integrità dei file e avvisi su processi e connessioni anomali.

Indicatori di compromissione (IoC)

proxy[.]php
richdocumentscode

Fonte: ACN