Attacchi in corso sui server Nextcloud tramite una vulnerabilità critica in Collabora CODE. Come verificare le compromissioni, aggiornare i sistemi e bloccare le web shell.
Una campagna di attacchi sta colpendo i server aziendali a causa della Nextcloud vulnerabilità Collabora CODE (identificata con il codice CVE-2026-110447). Il difetto critico riguarda l'applicazione ufficiale "Collabora Online - Built-in CODE Server" (versioni 26.4.302 e precedenti) e permette a un utente esterno di eseguire codice da remoto senza alcuna autenticazione. Per proteggere i dati aziendali, è necessario aggiornare immediatamente l'applicazione alla versione 26.4.303 o rimuovere fisicamente la cartella dal server.
Dettagli della vulnerabilità CVE-2026-110447
La falla, classificata con un punteggio di gravità CVSS di 9.2 su 10, rientra nella categoria dell'iniezione di comandi nel sistema operativo (OS Command Injection). Il problema risiede nel file /apps/richdocumentscode/proxy.php, uno script che avvia l'eseguibile locale di Collabora quando riceve una richiesta e il servizio non è attivo.
Nelle versioni vulnerabili, i parametri della richiesta HTTP vengono concatenati in un comando per la shell di sistema senza un'adeguata sanificazione. Gli aggressori sfruttano questa debolezza inviando stringhe manipolate, utilizzando la sintassi di sostituzione dei comandi bash $() e nascondendo gli spazi tramite ${IFS}, per installare porte di accesso permanente (web shell PHP) sui server.
Chi è coinvolto e i rischi per le aziende
Il problema riguarda le istanze Nextcloud che utilizzano l'applicazione integrata distribuita con il nome di pacchetto richdocumentscode. Non sono vulnerabili le installazioni che utilizzano l'applicazione Nextcloud Office (richdocuments) collegata a un server Collabora Online dedicato o esterno (tramite Docker o pacchetti Linux indipendenti).
La compromissione del server espone l'azienda a rischi severi:
- Ottenimento dei privilegi di esecuzione sul sistema operativo con i diritti dell'utente del server web (es.
www-data). - Furto di archivi documentali riservati, credenziali del database e segreti applicativi contenuti nel file
config/config.php. - Utilizzo del server come punto di partenza per attaccare il resto della rete aziendale o per distribuire ransomware.
Un incidente di questa natura comporta una violazione dei dati personali, facendo scattare l'obbligo di notifica all'Autorità Garante della Privacy entro 72 ore dal rilevamento, in conformità al GDPR.
Indicatori di compromissione: come verificare il server
Prima di procedere con gli aggiornamenti, è fondamentale verificare se il server ha già subito un attacco. Controllate i seguenti elementi:
- Log del server web: ispezionate i registri di accesso di Apache o Nginx cercando chiamate HTTP sospette verso percorsi contenenti
proxy.php. Prestate attenzione a richieste che includono stringhe come$(,base64,${IFS},?status, o tentativi di attraversamento delle directory come%2e%2e. - File anomali: verificate l'integrità del disco cercando file PHP creati di recente nelle cartelle di Nextcloud e del server web. Gli aggressori utilizzano spesso nomi insoliti per le web shell, come
shrf4645.phposhxa35d0.php.
Cosa fare per proteggere l'istanza Nextcloud
Se il server non presenta segni di compromissione, applicate subito una di queste soluzioni:
- Aggiornamento immediato (soluzione definitiva): aggiornate l'applicazione
richdocumentscodealla versione26.4.303o successiva. Potete farlo dal pannello di gestione applicazioni di Nextcloud o da riga di comando eseguendo:sudo -u www-data php occ app:update richdocumentscode. - Misure di contenimento temporanee: se non potete aggiornare, disattivare l'app dall'interfaccia grafica non è sufficiente, poiché il file
proxy.phprimane accessibile. È indispensabile eliminare fisicamente la cartella/apps/richdocumentscode/dal disco, oppure configurare il server web (Apache o Nginx) per restituire un errore HTTP 403 a qualsiasi richiesta diretta versoproxy.php. - Passaggio a Docker: per gli ambienti di produzione, la disinstallazione completa dell'app integrata (
sudo -u www-data php occ app:remove richdocumentscode) in favore di un'istanza Collabora Online isolata in un contenitore Docker rappresenta l'architettura più sicura.
Nel caso in cui abbiate rilevato indicatori di compromissione (file anomali o log sospetti), il server deve essere considerato violato. Sarà necessario rigenerare le credenziali di accesso al database, cambiare la chiave 'secret' nel file config.php e procedere al ripristino dell'intero sistema da una copia di sicurezza certificata precedente al 10 settembre 2026.
