Se hai un Nextcloud con l’app “Collabora Online - Built-in CODE Server” installata e non l’hai aggiornata, qualcuno può eseguire comandi sul tuo server senza nemmeno fare login, e gli attacchi sono in corso da settembre. Il problema riguarda solo quell’app opzionale, non Nextcloud in generale: se usi Collabora in un container separato o Nextcloud All-in-One sei fuori dal giro. Per tutti gli altri la mossa è aggiornare l’app, poi controllare che nessuno abbia già lasciato qualcosa sul server. Sotto il dettaglio.

La notizia arriva da BleepingComputer, che racconta di attaccanti che sfruttano una falla di command injection nell’app richdocumentscode per prendere il controllo di server Nextcloud e piazzarci web shell. La vulnerabilità è tracciata come CVE-2026-110447 e colpisce le versioni dell’app precedenti alla 26.4.303. Lo sfruttamento attivo risale al 10 settembre.

Chi è esposto e chi no

Quell’app è il modo più comodo per avere l’editing dei documenti dentro Nextcloud senza montare un secondo servizio: la installi dallo store delle app e funziona, con il server CODE che gira dentro lo stesso ambiente. Per questo piace in homelab. Ed è esattamente il motivo per cui qui fa male: il codice vulnerabile gira dove girano i tuoi file.

Secondo la fonte, non sono vulnerabili:

  • Collabora Online installato standalone
  • le installazioni Docker di Collabora
  • Nextcloud All-in-One

Quindi se hai fatto la scelta “pulita” di tenere Collabora in un container a parte, probabilmente dormi tranquillo. Separare l’editor dal server che custodisce i file costa dieci minuti in più di setup e ti evita questa categoria di problemi. Se invece hai preso la scorciatoia dell’app integrata, oggi la scorciatoia ti presenta il conto.

Cosa fa l’attaccante

Command injection senza autenticazione significa che basta che il server sia raggiungibile. Niente password da indovinare, niente utente da compromettere. Gli attaccanti usano la falla per eseguire comandi e lasciare una web shell, cioè un file che poi gli dà accesso comodo e ripetibile al sistema anche dopo che aggiorni.

Questo è il punto che molti sottovalutano: aggiornare chiude la porta, ma non butta fuori chi è già dentro. E secondo il report i bersagli preferiti sono password manager e wallet, cioè dati che su un Nextcloud auto-ospitato spesso ci sono davvero (vault esportati, file di KeePass, backup di seed). Se la tua istanza è raggiungibile da internet, ragiona come se potesse essere già stata visitata.

Cosa fare, in ordine

  1. Aggiorna l’app Collabora Online - Built-in CODE Server alla 26.4.303 o successiva, da Impostazioni > App. Se non ti serve, disabilitala del tutto. Per sapere cosa hai installato, da riga di comando puoi lanciare occ app:list come utente del web server e cercare richdocumentscode nell’elenco, con la versione accanto al nome. Con occ app:update richdocumentscode l’aggiornamento parte da terminale, comodo se gestisci l’istanza da SSH.
  2. Cerca file sospetti. Controlla nella directory dell’app e nella webroot di Nextcloud file PHP recenti che non hai creato tu, guardando le date di modifica. Un find per file .php modificati dopo il 10 settembre è un buon inizio.
  3. Guarda i log del web server per richieste strane verso gli endpoint dell’app richdocumentscode da quella data in poi.
  4. Se trovi qualcosa, o anche solo un dubbio serio, tratta il server come compromesso: ruota le credenziali di quello che c’era dentro (password, token, chiavi API, app password) e valuta un ripristino da backup pulito.
  5. Se Nextcloud è esposto direttamente, mettilo dietro una VPN o almeno un reverse proxy con restrizioni. Non serve mostrare al mondo un servizio che usi solo tu e la famiglia.

L’ultimo punto vale sempre, non solo per questa CVE. Lo stesso schema l’abbiamo visto con le falle UniFi di agosto e con WordPress 7.1.2: servizio raggiungibile, nessuna credenziale richiesta, exploit che circola. E se non puoi eliminare l’esposizione, almeno fatti avvisare quando qualcuno prova a entrare.

La mia opinione

Le app “tutto in uno” dentro un servizio centrale sono comode finché non diventano la superficie d’attacco principale. Un editor di documenti che esegue codice sul server che ospita i tuoi dati è una combinazione che mi mette sempre a disagio, e un mese di sfruttamento attivo prima che molti se ne accorgano mi dà ragione. Non ce l’ho con Nextcloud, che continuo a usare. Il punto è quante cose lasci girare nello stesso posto.

Anche se usi Collabora separato, riguarda comunque log e app installate. Ci vogliono pochi minuti.

Fonte: BleepingComputer