Cyber alert per PMI svizzere: ONLYOFFICE Docs – falla server sfruttata attivamente consente l’esecuzione di codice
La CISA conferma lo sfruttamento attivo di una vulnerabilità critica nelle vecchie installazioni di ONLYOFFICE Document Server. Sono interessate le versioni precedenti alla 5.6.3 quando viene usato JWT. Se la vostra azienda utilizza ONLYOFFICE Docs direttamente o tramite un fornitore IT, chiedete oggi stesso di verificare la versione installata.
Che cosa è successo?
L’8 ottobre 2026 la CISA ha aggiunto CVE-2021-3199 al catalogo delle vulnerabilità sfruttate. L’inserimento conferma che la falla viene utilizzata in attacchi reali.
La vulnerabilità si trova nella funzione di caricamento di ONLYOFFICE Document Server. Quando viene utilizzato JWT, una richiesta manipolata per il caricamento di un’immagine può consentire a un attaccante remoto non autenticato di attraversare percorsi di file ed eseguire codice sul server.
La mia azienda potrebbe essere interessata?
La falla interessa ONLYOFFICE Document Server, noto anche come ONLYOFFICE Docs, nelle versioni precedenti alla 5.6.3. È rilevante per le installazioni ospitate internamente e per i server gestiti da un fornitore IT nell’ambito di una piattaforma documentale o di collaborazione.
Se la vostra azienda non utilizza ONLYOFFICE Docs, oppure se il Document Server usa la versione 5.6.3 o successiva, questa specifica vulnerabilità non si applica secondo le informazioni ufficiali.
Che cosa occorre fare ora?
Chiedete oggi al vostro fornitore IT di individuare eventuali ONLYOFFICE Document Server gestiti internamente o per vostro conto e di verificarne versione, configurazione JWT ed esposizione a Internet.
I sistemi interessati devono essere aggiornati a una versione attualmente supportata; la 5.6.3 è la prima versione che contiene la correzione.
Se un server vulnerabile era raggiungibile da Internet, chiedete anche di esaminare i log e lo stato del sistema alla ricerca di segnali di compromissione.
Quanto è urgente?
Elevata per i server interessati e raggiungibili. Lo sfruttamento attivo è confermato e un attacco senza autenticazione può portare all’esecuzione di codice; la verifica non dovrebbe quindi attendere la prossima finestra di manutenzione ordinaria.
Informazioni per il fornitore IT
CVE: CVE-2021-3199; CVSS 3.1: 9.8.
Prodotto: ONLYOFFICE Document Server / ONLYOFFICE Docs prima della versione 5.6.3.
Condizione: viene usato JWT; attacco tramite una richiesta manipolata per il caricamento di un’immagine nella funzione /upload.
Impatto: aggiramento delle restrizioni di sicurezza ed esecuzione di codice da remoto.
Stato: sfruttamento attivo confermato; aggiunta al catalogo KEV della CISA l’8 ottobre 2026.
Misura: aggiornare a una versione attualmente supportata, almeno la 5.6.3, e verificare eventuali vecchi sistemi esposti per rilevare una compromissione.
