Collabora / Nextcloud Collabora Online… · Exploração confirmada

CISA confirma exploração ativa de falha crítica no Collabora CODE do Nextcloud

09 de set. de 2026 · 1 min de leitura

A CVE-2026-110447 é uma injeção de comando de sistema não autenticada (CVSS 9,2) no proxy.php do app richdocumentscode, o Collabora Online Built-in CODE Server para Nextcloud. A falha é explorada em ataques reais desde 10 de setembro de 2026, com instalação de webshells, e a CISA a incluiu no catálogo KEV. Atualize para 26.4.303 ou posterior (mais recente: 26.4.502) ou remova o app; desabilitá-lo não basta.

Por Redação HIFY Radar Atualizado 26/10/2026 14:39 Receba isso todo dia →← Voltar ao feed 7 fontes

CríticaFalhaExploração confirmadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

A CISA adicionou a CVE-2026-110447 ao catálogo de vulnerabilidades conhecidas e exploradas (KEV), confirmando ataques reais. A falha crítica permite que invasores executem comandos no servidor sem senha, pelo app Collabora CODE embutido no Nextcloud. Os ataques ocorrem desde 10 de setembro de 2026 e instalam webshells.

Por que importa

Servidores Nextcloud com o app richdocumentscode desatualizado podem ter sido invadidos. Em casos relatados, invasores instalaram webshells e procuraram cofres de senhas e artefatos de criptomoedas; tudo que a conta do servidor web acessa deve ser tratado como exposto. Instalações Collabora Online autônomas não são afetadas.

O que fazer

Atualize o app richdocumentscode para 26.4.303 ou posterior (mais recente: 26.4.502), ou desinstale o app; desabilitar não elimina o risco. Em servidores expostos, revise logs desde 10 de setembro de 2026, busque os webshells citados e troque credenciais e segredos acessíveis ao servidor web.

Para o time técnico

CVE: CVE-2026-110447
Afetados: Collabora / Nextcloud Collabora Online Built-in CODE Server (app richdocumentscode) para Nextcloud · richdocumentscode (Collabora Online Built-in CODE Server para Nextcloud) antes de 26.4.303; versão comprometida nos relatos: 26.4.302. Servidores Collabora Online autônomos não são afetados; segundo a Collabora, atinge apenas a Development Edition nesse modo de implantação que baixa um appimage local. Usuários de Nextcloud EOL <= 29 devem atualizar o Nextcloud ou remover o app.
Exploração: Exploração ativa relatada desde 10 de setembro de 2026, com instalação de webshells, confirmada no issue #354 do richdocumentscode, pela imprensa (BleepingComputer, The Hacker News) e pela CISA, que incluiu a CVE no KEV. O advisory do GitHub cita exploração em setembro e outubro de 2026; EPSS de 11,634%.
Correção: Atualizar para richdocumentscode 26.4.303 ou posterior; release mais recente: 26.4.502; ou desinstalar o app. Desabilitar o app não basta. Não é o mesmo caminho da CVE-2025-66208, cuja correção não bloqueia esta falha.
Vetor: Injeção de comando de sistema operacional não autenticada (CWE-78) no proxy.php do app richdocumentscode (Collabora Online Built-in CODE Server). Uma requisição remota faz um comando rodar como usuário do servidor web. Explorável pela rede, sem privilégios nem interação do usuário; a condição é o CODE server embutido estar parado, como após reinício do container, upgrade ou queda (CVSS 4.0: AV:N/AC:L/AT:P/PR:N/UI:N).
Mais detalhes: Reportada por wwwshellcodeit; advisory GHSA-g3vx-3m76-fghh publicada em 14 de outubro de 2026. Os ataques usam path traversal codificado (%2e%2e), substituição de comando $, ofuscação com ${IFS} e payloads base64 executados via sh, com callback para webhook.site. O invasor executou comandos de descoberta buscando *.kdbx, wallet.dat, keystore.json, bitwarden, 1password.bitcoin.electrum.monero e .ethereum; os logs não mostraram comandos explícitos de exfiltração, mas tudo acessível à conta do servidor web deve ser tratado como potencialmente afetado. A exploração só ocorre com o CODE server embutido parado (reinício, upgrade ou queda).