Nextcloud, il server Collabora integrato usato per piazzare webshell: cosa fare subito

Il 23 ottobre 2026 CISA ha inserito nel catalogo delle vulnerabilità sfruttate la CVE-2026-110447, che colpisce l’app opzionale “Collabora Online – Built-in CODE Server” per Nextcloud. Una richiesta al file proxy.php dell’app può far eseguire comandi di sistema come utente del server web, senza autenticazione. La correzione esiste dall’11 settembre, ma l’avviso e la CVE sono arrivati solo il 14 ottobre, quando gli attacchi erano in corso da settimane.

Una condizione precisa, che però capita spesso

L’attacco funziona solo quando il server CODE integrato non è in esecuzione: dopo un riavvio del container, un aggiornamento o un crash. Sono momenti frequenti nella vita di un’istanza. L’avviso di Collabora precisa che non è lo stesso percorso della CVE-2025-66208 e che la correzione di quella falla non protegge da questa. Le istanze con Nextcloud 29 o precedenti, fuori supporto, devono aggiornare Nextcloud o rimuovere l’app.

Cosa hanno fatto gli attaccanti

Secondo le segnalazioni raccolte da BleepingComputer, i primi attacchi risalgono al 10 settembre. Gli attaccanti hanno piazzato webshell PHP e le hanno usate per cercare database di password, file di password manager e portafogli di criptovalute. Nel forum della comunità Nextcloud un amministratore ha documentato un file estraneo nella cartella dell’app (nel suo caso Nx_33143.php) segnalato dal controllo di integrità. Alcuni utenti hanno parlato di gruppi ransomware, ma BleepingComputer non ha potuto confermarlo. Nextcloud ha detto alla testata di non aver osservato uno sfruttamento diffuso e ha giustificato il ritardo dell’avviso con il tempo lasciato agli utenti per aggiornare; Collabora lo attribuisce agli arretrati nell’assegnazione delle CVE.

Cosa fare subito

1. Controllate se l’app è installata e quale versione avete: dall’interfaccia (Applicazioni, sezione Office & text) o da riga di comando, dalla cartella di Nextcloud e come utente del server web.
2. Aggiornate l’app alla 26.4.303 o successiva. Se non la usate, rimuovetela: disattivarla lascia il file vulnerabile al suo posto.
3. Lanciate il controllo di integrità dell’app e cercate file .php estranei nella sua cartella e nella webroot.
4. Se trovate file sospetti, trattate il server come compromesso: cambiate le credenziali conservate sul server (database, SMTP, storage esterni) e quelle degli utenti, e valutate la reinstallazione.

sudo -u www-data php occ app:list | grep richdocumentscode
sudo -u www-data php occ app:update richdocumentscode
sudo -u www-data php occ app:remove richdocumentscode
sudo -u www-data php occ integrity:check-app richdocumentscode
find apps/richdocumentscode -type f -name '*.php' -newer config/config.php

Su alcune distribuzioni l’utente del server web non si chiama www-data (per esempio apache): adattate il comando.

La nostra lettura

Nextcloud è molto diffuso in Italia tra scuole, enti locali e PMI che cercano un’alternativa ai cloud statunitensi, spesso in installazioni curate da una sola persona. La lezione qui riguarda il processo: una patch silenziosa senza CVE non compare negli scanner né nei bollettini, e per un mese chi non leggeva il forum non aveva modo di sapere. Se gestite un’istanza, l’app integrata è comoda per provare, ma in produzione un server Collabora separato è la scelta più solida. Nextcloud gira su PHP: verificate anche le patch per https://hardwarfare.it/sicurezza-informatica/vulnerabilita-patch/php2shell-falle-php-sfruttate-siti-pa-italiana/. Altre allerte in https://hardwarfare.it/category/sicurezza-informatica/vulnerabilita-patch/.

Articolo redatto con il supporto di strumenti di intelligenza artificiale e verificato dalla redazione. Come usiamo l'AI · Come lavoriamo