Una vulnerabilità critica in un componente opzionale di Nextcloud viene sfruttata in rete da oltre sei settimane, ma l'avviso ufficiale è arrivato solo il 14 ottobre. Si tratta della CVE-2026-110447, un'iniezione di comandi del sistema operativo (CVSS 9,2) nell'app Collabora Online – Built-in CODE Server (nome tecnico richdocumentscode), che la CISA ha aggiunto al catalogo delle vulnerabilità sfruttate (KEV). Se gestite un Nextcloud con l'editor documentale integrato, vale la pena controllare oggi stesso.

Cosa è successo

L'app richdocumentscode incorpora in Nextcloud un piccolo server Collabora per modificare documenti direttamente dal browser. Secondo le ricostruzioni, nel file proxy.php il testo della richiesta, percorso compreso, finiva dentro un comando bash tra virgolette doppie: una sequenza come $(...) veniva quindi eseguita dalla shell. La condizione per lo sfruttamento è che il server documentale locale non sia in esecuzione, per esempio durante un riavvio, un aggiornamento o dopo un crash. In quel caso un attaccante non autenticato può eseguire comandi con i privilegi dell'account del web server.

Le prime tracce di attacco risalgono al 10 settembre 2026. Il codice corretto (versione 26.4.303) è stato pubblicato l'11 settembre, ma le note di rilascio non segnalavano alcun problema di sicurezza; l'avviso di Collabora e il CVE sono arrivati il 14 ottobre, e un utente del forum Nextcloud aveva già avvertito della sfruttazione il 3 ottobre. Questo scarto di oltre un mese tra correzione silenziosa e comunicazione è il dato più rilevante per chi fa gestione delle patch: chi aggiornava solo in base agli avvisi di sicurezza è rimasto scoperto.

Gli attaccanti hanno installato web shell PHP nella cartella dell'app e hanno cercato file legati a gestori di password, portafogli di criptovalute e keystore. Nei log analizzati non compaiono comandi di archiviazione o di invio dei file e non risulta un accesso root, ma le fonti concordano sulla cautela: tutto ciò che l'account del web server poteva leggere va considerato potenzialmente esposto. Il numero di server compromessi non è noto.

Chi è esposto

Sono vulnerabili le versioni di richdocumentscode precedenti alla 26.4.303. Non sono coinvolti i server Collabora Online autonomi né l'app Nextcloud Office (richdocuments) usata senza il server integrato. Un punto critico: la versione corretta richiede Nextcloud 30 o successivo, quindi chi è fermo a Nextcloud 29 o precedenti (fine supporto) non può installare la correzione e deve aggiornare Nextcloud oppure rimuovere l'app. Collabora precisa inoltre che disattivare l'app non è sufficiente: va aggiornata o eliminata. Va infine ricordato che il pacchetto con server integrato è pensato per test e uso non in produzione, ma nella pratica è molto diffuso proprio perché si installa con un clic.

Cosa significa per le aziende italiane

Nextcloud è una scelta frequente in Italia per studi professionali, PMI, scuole, enti locali e aziende sanitarie che vogliono tenere i dati in casa o rispettare vincoli di sovranità del dato. Spesso è gestito da un fornitore esterno o da una singola persona, con aggiornamenti irregolari e senza monitoraggio dei log: esattamente il profilo di rischio di questa vicenda. L'app integrata viene installata per comodità e poi dimenticata, e non compare negli inventari come "servizio esposto".

Sul piano normativo il quadro è concreto. Un web shell su un server che contiene dati personali è, di norma, una violazione di dati personali ai sensi dell'art. 33 del GDPR: se si accerta che l'attaccante ha potuto leggere o esfiltrare dati, scatta la valutazione del rischio e, quando non è improbabile un rischio per gli interessati, la notifica al Garante entro 72 ore dalla scoperta. Per i soggetti rientranti nella NIS2 (D.Lgs. 138/2024) si aggiunge l'obbligo di pre-notifica al CSIRT Italia entro 24 ore per gli incidenti significativi. In entrambi i casi conta la tempistica dalla consapevolezza dell'incidente, ma conta anche poter dimostrare di aver cercato: una verifica documentata dei log fino al 10 settembre è la prova di diligenza che un'autorità si aspetta. Chi è fornitore di Nextcloud gestito per conto terzi dovrebbe informare i clienti, che restano titolari del trattamento.

C'è poi un'osservazione di metodo. Il caso conferma che l'inventario degli add-on conta quanto quello dei sistemi: la superficie d'attacco di una piattaforma collaborativa include ogni app installata, e il processo di patching deve guardare ai rilasci dei componenti, non solo agli avvisi di sicurezza.

Cosa fare subito

  • Verificare la versione di richdocumentscode dall'interfaccia di amministrazione o con occ app:list: aggiornare alla 26.4.303 o successiva, oppure rimuovere l'app se non serve.
  • Se si usa Nextcloud 29 o precedente, pianificare l'aggiornamento della piattaforma o la rimozione dell'app: la correzione non è installabile.
  • Cercare nella cartella apps/richdocumentscode/ file PHP anomali con nome shx*.php (indicati: shrf4645.php, shxa35d0.php, shx5cf91.php, shxd33ce.php, shxf4645.php) e confrontare con il controllo di integrità di Nextcloud, che in un caso ha rivelato la web shell.
  • Analizzare i log di accesso dal 10 settembre in poi: richieste a proxy.php?status con marcatori come $(, ${IFS}, %2e%2e o base64 -d verso sh; verificare anche tentativi sudo falliti dell'account del web server e connessioni verso webhook.site.
  • Indicatori di rete segnalati: IP 139.28.18.122 (attacchi del 10-11 settembre) e 89.38.98.50 (tentativo del 14 settembre).
  • Se emergono tracce di compromissione: isolare il server, conservare log e file sospetti, ruotare le credenziali e i segreti leggibili dal web server, valutare la ricostruzione da zero (il patch non rimuove l'accesso già ottenuto) e attivare la valutazione GDPR/NIS2.
  • Nota operativa: la versione 26.4.402 (24 settembre) modifica il modo di avviare il server, ma alcuni amministratori segnalano problemi di avvio; diversi sono tornati alla 26.4.303. Testare prima in ambiente separato.

Limiti di quanto si sa

Le fonti non indicano la scala della campagna né l'identità degli attaccanti, e non è dimostrata l'esfiltrazione di file. Gli indicatori elencati provengono da segnalazioni di amministratori e non sono un elenco esaustivo: l'assenza di questi file non prova che il sistema sia pulito. Aggiorneremo l'articolo se emergeranno nuove informazioni.