Nextcloud, sfruttata in Italia la falla critica nel server CODE integrato
Il 16 ottobre 2026 il CSIRT Italia ha comunicato, nel bollettino BL02/261016/CSIRT-ITA pubblicato sul portale dell’ACN, di aver rilevato in Italia la compromissione di un server Nextcloud. L’attacco ha sfruttato la CVE-2026-110447, di gravità «critica», nel componente Collabora Online – Built-in CODE Server (richdocumentscode), usato per modificare documenti in modo collaborativo.
Secondo il CSIRT Italia, le evidenze raccolte sono compatibili con una campagna di sfruttamento automatizzata, tuttora attiva e condotta da più attori. L’indicazione è aggiornare il componente alla versione 26.4.303 o successiva, oppure rimuoverlo.
Cosa è successo sul server compromesso
Secondo l’ACN, l’attaccante ha colpito un server Nextcloud destinato a un servizio documentale. Ha eseguito comandi con i privilegi dell’utenza associata al web server e ha installato tre webshell.
Ha poi prelevato un file di configurazione che conteneva le credenziali di un database locale e di una casella di posta di servizio, oltre a chiavi e segreti applicativi. Quei dati potrebbero consentire ulteriori accessi alle risorse collegate, nei limiti dei permessi delle utenze.
Dalle evidenze disponibili risulta l’esecuzione di un solo comando di verifica, attraverso una delle webshell. Per ora non emergono accessi ai documenti degli utenti, privilegi amministrativi, altri meccanismi di persistenza o movimenti laterali verso altri sistemi.
La falla in proxy.php e quando si può sfruttare
La vulnerabilità è una OS Command Injection con CVSS v4.0 pari a 9.2. Nasce da una convalida errata dei parametri di input nel file proxy.php. Un attaccante remoto e non autenticato può inviare richieste HTTP costruite ad arte per eseguire comandi di sistema con i privilegi dell’utenza del web server.
Lo sfruttamento è possibile quando il servizio CODE integrato non è in esecuzione, per esempio dopo un riavvio, un aggiornamento o un arresto anomalo. Secondo il bollettino, il problema riguarda solo questa modalità di distribuzione: i server Collabora Online installati separatamente non sono toccati.
Con l’esecuzione di comandi, precisa il bollettino, si possono installare strumenti di accesso remoto, leggere o modificare le informazioni accessibili all’utenza del web server e compromettere la disponibilità del servizio.
Versioni interessate
Sono affette tutte le versioni di Collabora Online – Built-in CODE Server per Nextcloud (richdocumentscode) precedenti alla 26.4.303. Chi usa un’installazione Nextcloud non più supportata deve aggiornare la piattaforma a una versione supportata e compatibile con il componente corretto, oppure rimuovere richdocumentscode.
Cosa fare subito
Le indicazioni del CSIRT Italia:
- aggiornare richdocumentscode a una versione corretta, a partire dalla 26.4.303; se non è possibile, rimuovere il componente, perché la sola disabilitazione dall’interfaccia di Nextcloud non è una mitigazione sufficiente;
- verificare l’integrità del core di Nextcloud e delle app installate, cercando file non autorizzati e webshell anche nella directory del componente, e confrontare i log di web server, reverse proxy e sistemi di sicurezza per individuare richieste anomale a
proxy.php; - in caso di segni di compromissione, isolare i sistemi e ruotare, da un ambiente attendibile, credenziali tecniche, password delle utenze di servizio, segreti applicativi e chiavi, con i certificati associati se necessario, controllando poi usi non autorizzati delle utenze di database e posta;
- per i sistemi compromessi, valutare la ricostruzione da fonti attendibili e il ripristino dei soli dati verificati.
Il bollettino rimanda per i dettagli agli advisory pubblicati su GitHub dal progetto Collabora, indicati nella sezione Riferimenti.
