Cyber alert per PMI svizzere: Nextcloud – l’app Collabora viene sfruttata attivamente
Una vulnerabilità critica nell’app opzionale «Collabora Online – Built-in CODE Server» per Nextcloud viene sfruttata attivamente. Senza autenticarsi, un aggressore può eseguire comandi con i privilegi dell’utente del server web, ma soltanto quando il server CODE integrato non è in esecuzione, ad esempio durante un riavvio, un aggiornamento o dopo un arresto anomalo. Se la vostra azienda gestisce Nextcloud direttamente o tramite un fornitore IT, chiedetegli di verificare subito la versione dell’app e la presenza di eventuali tracce di compromissione.
Che cosa è successo?
Collabora ha pubblicato l’avviso di sicurezza relativo a CVE-2026-110447 il 14 ottobre 2026. Gli attacchi contro installazioni Nextcloud accessibili da Internet erano già stati osservati dal 10 settembre 2026, con l’installazione di web shell PHP e la successiva esecuzione di comandi sui server colpiti.
La vulnerabilità ha un punteggio CVSS v4.0 di 9.2. Un attacco riuscito esegue comandi con i privilegi dell’utente del server web e può quindi compromettere dati e segreti accessibili a tale servizio.
La mia azienda potrebbe essere interessata?
Sono interessate le installazioni Nextcloud che utilizzano l’app opzionale «Collabora Online – Built-in CODE Server» (pacchetto richdocumentscode) in versioni precedenti alla 26.4.303. Lo sfruttamento è possibile soltanto quando il server CODE integrato non è in esecuzione, ad esempio durante un riavvio, un aggiornamento o dopo un arresto anomalo.
Secondo il produttore, i server Collabora Online autonomi non sono interessati. Se la vostra azienda utilizza Nextcloud come servizio ospitato, chiedete al fornitore di confermare se è stata impiegata questa specifica app Built-in CODE.
Che cosa occorre fare ora?
Chiedete oggi stesso al vostro fornitore IT di stabilire se l’ambiente Nextcloud utilizza l’app richdocumentscode. In caso affermativo, l’app deve essere aggiornata alla versione 26.4.303 o successiva; è preferibile installare la versione supportata più recente.
La semplice disattivazione dell’app non è sufficiente. Per Nextcloud 29 o versioni precedenti, il produttore richiede di aggiornare Nextcloud oppure di rimuovere l’app. Se l’installazione era accessibile da Internet dal 10 settembre 2026, occorre anche una verifica di compromissione.
Quanto è urgente?
Molto urgente per le installazioni interessate: lo sfruttamento è confermato, non richiede l’accesso e permette di eseguire comandi sul server. Le aziende che non utilizzano l’app interessata non devono intervenire; la priorità è verificare rapidamente la configurazione effettiva.
Informazioni per il vostro fornitore IT
CVE-2026-110447; CVSS v4.0: 9.2 (Critical).
Versioni interessate: richdocumentscode < 26.4.303. Correzione disponibile dalla versione 26.4.303.
Condizione: il server Built-in CODE non è in esecuzione, ad esempio durante un riavvio, un aggiornamento o dopo un arresto anomalo.
Vettore: /apps/richdocumentscode/proxy.php?status; non sono richieste autenticazione né interazione dell’utente.
Indicatori osservati: file PHP con schema shx*.php, IP sorgente 139.28.18.122, webhook.site e SHA-256 4b9fbd0663fbfd6028fc216ed18e0d6ef3ae498a7fdc97083e4b0ce3cec40562.
Collabora Online autonomo non è interessato. Disattivare l’app non basta; occorre aggiornarla o rimuoverla.
