Nextcloud e Collabora: la falla CVE-2026-110447 è già sfruttata, cosa verificare

Molte PMI usano Nextcloud come cloud aziendale per file, calendari e documenti condivisi, spesso installato su un proprio server o su un VPS. Chi ha attivato la modifica dei documenti nel browser con l'app opzionale «Collabora Online - Built-in CODE Server» (nome tecnico richdocumentscode) deve verificare subito la versione installata: una vulnerabilità critica in questa app, CVE-2026-110447, permette di eseguire comandi sul server senza autenticazione ed è già stata sfruttata.

Il 23 ottobre 2026 l'agenzia statunitense CISA l'ha inserita nel catalogo delle vulnerabilità sfruttate attivamente. Qui sotto trovate i fatti verificati, chi è interessato e cosa fare.

Cosa è successo

Secondo l'avviso di sicurezza di Collabora, pubblicato il 14 ottobre 2026, lo script proxy.php dell'app può essere indotto a eseguire un comando del sistema operativo con i diritti dell'utente del server web. Non servono credenziali né alcuna interazione dell'utente. Il punteggio CVSS 4.0 è di 9,2 su 10, livello critico.

C'è una condizione: l'attacco funziona solo mentre il server CODE integrato non è in esecuzione, per esempio durante il riavvio di un container, durante un aggiornamento o dopo un arresto anomalo. È una finestra limitata, ma si ripete a ogni riavvio.

La correzione era disponibile dall'11 settembre 2026 con la versione 26.4.303 dell'app, senza però un avviso di sicurezza. L'identificativo CVE è arrivato solo il 14 ottobre. Collabora spiega nel suo blog che il ritardo è dovuto soprattutto ai tempi di elaborazione delle CVE presso GitHub, rallentati dal grande volume di segnalazioni di sicurezza generate con l'intelligenza artificiale.

Lo stato della minaccia

La scheda della vulnerabilità nel registro NVD indica che la falla è stata sfruttata nei mesi di settembre e ottobre 2026. Secondo le segnalazioni di amministratori raccolte da BleepingComputer e The Hacker News, il primo attacco registrato risale al 10 settembre 2026, il giorno dopo la pubblicazione della correzione nel codice sorgente. Gli attaccanti hanno depositato piccoli file PHP che fungono da porta di accesso (web shell) e li hanno usati per cercare archivi di password e portafogli di criptovalute. Quanti server siano stati colpiti non è noto.

Il 3 ottobre un utente del forum ufficiale di Nextcloud aveva già invitato ad aggiornare, perché la falla era sfruttata e non esisteva ancora alcun avviso pubblico.

Chi è interessato

• Interessato: chi ha installato l'app «Collabora Online - Built-in CODE Server» (richdocumentscode) in una versione precedente alla 26.4.303.
• Non interessato, secondo Collabora: chi usa un server Collabora Online separato, le immagini Docker, i pacchetti RPM/DEB o Nextcloud All-in-One, e chi si appoggia a un servizio Collabora in hosting.

Collabora precisa che l'app integrata è pensata soprattutto per uso domestico, non è il metodo di installazione raccomandato ed è usata da una minoranza degli utenti Nextcloud. Nella pratica, però, la si trova anche in piccole installazioni aziendali, proprio perché è il modo più rapido per modificare documenti Office in Nextcloud.

Un punto importante: disattivare l'app non basta. Lo script vulnerabile resta nella cartella dell'app e può essere richiamato direttamente. Va aggiornata alla versione 26.4.303 o successiva, oppure rimossa.

Cosa fare adesso

1. Verificare l'installazione

Nell'amministrazione di Nextcloud, alla voce App, controllate se «Collabora Online - Built-in CODE Server» è presente e in quale versione. Se usate Nextcloud tramite un fornitore, chiedetegli per iscritto se l'app è installata e aggiornata.

2. Aggiornare o rimuovere

Aggiornate l'app alla versione 26.4.303 o successiva. Le versioni corrette richiedono Nextcloud 30 o successivo: nell'app store di Nextcloud, alla data di questo articolo, per Nextcloud 30-35 è disponibile la 26.4.502, mentre per Nextcloud 29 e precedenti è offerta ancora una versione vulnerabile. Nextcloud 29 e precedenti non ricevono più aggiornamenti: in quel caso aggiornate Nextcloud o rimuovete l'app. Se non usate la modifica dei documenti nel browser, la soluzione più semplice è disinstallarla.

3. Controllare se il server è stato compromesso

L'aggiornamento chiude la falla, ma non elimina un accesso già avvenuto. Se l'app vulnerabile era installata e il server è raggiungibile da internet:

1. Avviate il controllo di integrità di Nextcloud (Impostazioni di amministrazione, Panoramica): segnala file PHP che non fanno parte del pacchetto ufficiale. In uno dei casi riportati sul forum, è stato proprio questo controllo a scoprire la web shell.
2. Cercate file PHP inattesi nella cartella dell'app e nel resto dell'installazione.
3. Esaminate i log di accesso del server web almeno a partire dal 10 settembre 2026, in particolare le richieste allo script proxy.php dell'app.
4. Se trovate tracce di compromissione, considerate esposto tutto ciò che l'utente del server web poteva leggere: cambiate la password del database e le altre credenziali presenti nella configurazione di Nextcloud, comprese quelle della posta, e valutate un ripristino da un backup pulito.

4. Ridurre l'esposizione in futuro

Per un uso aziendale conviene un server Collabora separato invece dell'app integrata, e un accesso a Nextcloud limitato, dove possibile, tramite VPN o autenticazione a più fattori (vedi i cinque livelli di sicurezza degli accessi dell'UFCS). Il caso conferma anche un punto emerso con le vulnerabilità PHP di questa settimana: gli aggiornamenti vanno installati con regolarità, anche quando non sono accompagnati da un avviso di sicurezza.

Obblighi di segnalazione in Svizzera

Se un server con dati di clienti o collaboratori è stato compromesso, entrano in gioco anche aspetti legali:

• Protezione dei dati (nLPD): una violazione della sicurezza dei dati che comporta verosimilmente un rischio elevato per le persone interessate va notificata quanto prima all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), secondo l'art. 24 LPD. L'IFPDT mette a disposizione un modulo online e una guida.
• Infrastrutture critiche: dal 1° aprile 2025 i gestori di infrastrutture critiche, comprese le amministrazioni cantonali e comunali, devono segnalare i ciberattacchi all'UFCS entro 24 ore dalla scoperta.
• Per tutte le altre imprese la segnalazione all'UFCS è volontaria, ma utile: il modulo online fornisce anche una prima valutazione del caso.

Lo studio «PMI Cybersicurezza 2026» ha mostrato che proprio la preparazione organizzativa, cioè sapere chi fa cosa in caso di incidente, è il punto debole di molte PMI.

Domande frequenti

Uso Nextcloud: sono automaticamente a rischio?

No. La falla riguarda solo l'app opzionale «Collabora Online - Built-in CODE Server». Nextcloud in sé e i server Collabora installati separatamente non sono interessati.

Ho disattivato l'app: basta?

No. Secondo Collabora disattivarla non è sufficiente: l'app va aggiornata alla versione 26.4.303 o successiva, oppure rimossa.

Ho aggiornato a settembre: devo fare altro?

Il primo attacco documentato risale al 10 settembre, prima della versione corretta. Se l'app vulnerabile era installata in quei giorni, vale la pena eseguire il controllo di integrità e dare un'occhiata ai log.

Il mio Nextcloud è gestito da un fornitore: cosa devo fare?

Chiedetegli una conferma scritta che l'app integrata non è installata oppure è aggiornata, e se sono stati fatti controlli per individuare eventuali compromissioni.

Il nostro approccio

ElaraTeq Sagl gestisce siti e applicazioni per PMI ed enti pubblici in Ticino con hosting in Svizzera. Possiamo verificare la vostra installazione di Nextcloud, aggiornare o rimuovere l'app vulnerabile e controllare l'integrità del server. Per la manutenzione continuativa c'è il servizio descritto in Orbit; per una verifica, contattateci.

Fonti

• Collabora, avviso di sicurezza «Unauthenticated OS command injection in the richdocumentscode proxy», 14 ottobre 2026: GHSA-g3vx-3m76-fghh
• Collabora, «Stay Safe: Upgrade Everything Regularly», 15 ottobre 2026: collaboraonline.com
• NIST NVD, CVE-2026-110447; CVE Program, CVE-2026-110447
• CISA, «CISA Adds One Known Exploited Vulnerability to Catalog», 23 ottobre 2026: cisa.gov
• Nextcloud Community, «To Collabora Built-in User: Update ASAP», 3 ottobre 2026: help.nextcloud.com
• Nextcloud App Store, Collabora Online - Built-in CODE Server (versioni disponibili, consultato il 24 ottobre 2026)
• BleepingComputer, 15 ottobre 2026: Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers; The Hacker News, 14 ottobre 2026: Hackers Backdoor Nextcloud Servers
• IFPDT, notifica di violazioni della sicurezza dei dati; UFCS, obbligo di segnalare ciberattacchi contro le infrastrutture critiche