Para quem é: administradores que executam o Nextcloud em seu próprio servidor ou VPS e instalaram o app Collabora Online - Built-in CODE Server (ID do app richdocumentscode, um app que executa um servidor de edição de documentos de escritório dentro do Nextcloud). Esta página é baseada no aviso de segurança e no blog dos desenvolvedores e nos dados públicos da CISA. Ela não explica como os ataques funcionam.
Em andamento: esta página será atualizada conforme novas informações forem publicadas
Até 23:00 UTC, 24 de outubro de 2026Ainda não se sabe
- Quantos servidores ou organizações foram afetados
- Quem está por trás dos ataques
- Orientação oficial para verificar comprometimento (não consta no aviso)
- Se o app ARM64 de mesmo nome (richdocumentscode_arm64) está coberto
Os desenvolvedores publicaram o aviso de segurança e a CVE em 14 de outubro e explicaram o alcance em uma postagem de blog em 15 de outubro. A CISA incluiu a falha no KEV em 23 de outubro. Não foram divulgados nem o número de vítimas nem quem está por trás dos ataques. Esta página será atualizada quando o aviso for revisado.
O que fazer hoje (se o app CODE integrado estiver instalado)
Verifique se o app está instalado e qual é a versão
Entre como administrador e procure por Collabora Online - Built-in CODE Server na página de Apps. Verifique a lista de apps desativados além dos ativados. Pela linha de comando, execute php occ app:list no diretório do Nextcloud como usuário do servidor web; ele mostra cada app, se está ativado e sua versão. Se o richdocumentscode não aparecer, você não é afetado por esta falha.
Antes de atualizar ou remover, salve a saída da verificação e uma cópia do diretório
Atualizar ou remover o app substitui seu diretório, e arquivos plantados e outras evidências seriam perdidos. Primeiro execute php occ integrity:check-app richdocumentscode e salve a saída, depois copie todo o diretório do app (richdocumentscode em apps ou custom_apps) para outro local (recomendação deste site).
Se for anterior à 26.4.303, atualize
Atualize pela página de Apps ou com php occ app:update richdocumentscode. A correção está na 26.4.303; em 25 de outubro, a loja de apps oferecia a 26.4.502 para o Nextcloud 30 e posteriores. Após atualizar, confirme que a versão é 26.4.303 ou superior.
Se você não o utiliza, ou executa o Nextcloud 29 ou anterior, remova
Os desenvolvedores afirmam que desativar não impede o problema. Se você não usa o app, remova-o com php occ app:remove richdocumentscode e confirme que o diretório do app (richdocumentscode em apps ou custom_apps) foi apagado. Não há versão corrigida para o Nextcloud 29 e anteriores, então atualize o Nextcloud para a 30 ou posterior, ou remova o app.
Procure sinais de invasão
Se você executou uma versão anterior à correção em algum momento desde cerca de 10 de setembro, verifique a cópia do diretório do app, os logs do servidor web e os processos em execução, conforme descrito em "Como verificar comprometimento" abaixo. Atualizar pode não remover arquivos que já foram plantados.
Se encontrar sinais, isole primeiro
Se encontrar arquivos ou processos que você não reconhece, não os apague e siga em frente. Tire o servidor da rede, preserve os logs e as evidências, e então passe para a troca de credenciais e a restauração. Os passos estão em "Se o servidor foi comprometido" abaixo.
Você é afetado? Referência rápida
| O que você executa | Afetado? | O que fazer |
|---|---|---|
| richdocumentscode instalado, anterior à 26.4.303 (ativado ou desativado) | Sim (aviso) | Atualizar ou remover |
| richdocumentscode 26.4.303 ou posterior | Corrigido (aviso) | Verificar sinais de ataque anteriores à atualização (nossa recomendação) |
| richdocumentscode no Nextcloud 29 ou anterior | Sim. A versão mais recente oferecida para a 29 e anteriores é a 26.4.104, anterior à correção | Atualizar o Nextcloud para a 30 ou posterior, ou remover o app (aviso) |
| Conexão a um servidor Collabora Online independente (apenas Nextcloud Office, richdocuments) | Não afetado (aviso) | Nada a fazer para esta CVE |
| Imagem Docker do Collabora, pacotes RPM/DEB, Nextcloud All-in-One | Não afetado (blog dos desenvolvedores) | Nada a fazer para esta CVE |
| richdocumentscode_arm64 (o app ARM64) | Não mencionado no aviso | Mesma linha de versão; recomendamos atualizar para a mais recente (nossa visão) |
Mesmo no All-in-One, se você depois adicionou o richdocumentscode pela página de Apps, trate esse app como afetado (nossa visão). Ser afetado depende de o richdocumentscode estar instalado, e não do nome da sua configuração.
1. Instalado?
richdocumentscode presente, mesmo desativado
2. Versão
Afetado se anterior à 26.4.303
3. Sinais desde 10 de set.
Verifique se executou versão antiga
O que foi divulgado (aviso dos desenvolvedores)
- CVE
- CVE-2026-110447 (GHSA-g3vx-3m76-fghh)
- Tipo
- Injeção de comando do sistema operacional (CWE-78) no proxy.php do app
- Gravidade
- CVSS v4.0 9,2 (crítica). Vetor de ataque pela rede, sem autenticação, sem interação do usuário. Requisitos de ataque presentes (AT:P)
- Impacto
- Comandos do sistema operacional podem ser executados como o usuário do servidor web
- Condição
- O servidor CODE integrado não está em execução (por exemplo, após reinicialização de contêiner, atualização ou falha)
- Afetado
- richdocumentscode anterior à 26.4.303
- Correção
- Atualizar para a 26.4.303 ou posterior, ou remover o app. Desativar não basta. No Nextcloud 29 e anteriores, atualize o Nextcloud ou remova o app
- Não afetado
- Servidores Collabora Online independentes (aviso). Imagens Docker, pacotes RPM/DEB, Nextcloud All-in-One (blog dos desenvolvedores)
- Correção lançada
- 26.4.303 em 11 de setembro de 2026 (lista de lançamentos dos desenvolvedores)
O aviso diz que esta falha usa um caminho diferente de uma vulnerabilidade anterior (CVE-2025-66208), e a correção daquela não impede esta. Ter tratado a falha anterior não elimina a necessidade desta atualização.
A CISA incluiu a CVE-2026-110447 no KEV em 23 de outubro e definiu 26 de outubro como prazo para agências federais dos EUA. A entrada no KEV indica que ela exige triagem forense. O uso em campanhas de ransomware conhecidas está listado como "Desconhecido".
Quando os ataques começaram
A correção foi lançada em 11 de setembro, mas o aviso e a CVE só foram publicados em 14 de outubro. Enquanto isso, usuários relataram no repositório dos desenvolvedores que, a partir de cerca de 10 de setembro, viram requisições suspeitas ao proxy.php e arquivos PHP que não reconheciam no diretório do app. No fórum da comunidade Nextcloud, um usuário pediu que outros atualizassem em 3 de outubro.
Segundo a BleepingComputer (15 de outubro), os web shells plantados (arquivos maliciosos que permitem a alguém de fora enviar comandos ao servidor) foram usados para procurar arquivos de cofres de senhas e carteiras de criptomoedas. Alguns usuários disseram que houve ransomware, mas a publicação diz não ter conseguido confirmar isso. Segundo a mesma reportagem, os desenvolvedores atribuíram o anúncio tardio a um acúmulo no processamento de CVEs.
Visão deste site: durante o mês entre a correção e o aviso, administradores que não atualizaram os apps automaticamente não tiveram nenhum sinal de que a atualização era urgente. Um processo de "corrigir quando surgir um aviso" deixa essa janela inteira aberta. Os apps do Nextcloud precisam de uma verificação de atualização própria, separada do próprio Nextcloud.
Um app desativado e esquecido ainda conta
Os desenvolvedores afirmam que desativar o app não impede o problema. Se você já o instalou para testar e parou de usar, verifique-o enquanto os arquivos estiverem presentes. A lição aqui é remover os apps não utilizados, e não apenas desativá-los (nossa visão).
Como verificar comprometimento (verificações do lado do defensor)
São verificações que um administrador executa no próprio servidor. Não tente reproduzir o ataque.
Execute a verificação de integridade do Nextcloud
O Nextcloud pode verificar se os arquivos de um app correspondem à versão publicada. Execute php occ integrity:check-app richdocumentscode e procure arquivos que não estão na versão oficial (EXTRA_FILE) ou arquivos cujo conteúdo é diferente. Usuários relataram perceber o comprometimento quando a verificação de integridade do Nextcloud falhou. Como em "O que fazer hoje" acima, execute-a antes de atualizar ou remover o app e salve a saída.
Procure arquivos desconhecidos nos diretórios do app e do servidor web
Além do diretório do richdocumentscode, liste os arquivos PHP criados ou alterados desde 10 de setembro em todo o diretório do Nextcloud (por exemplo, find /caminho/para/nextcloud -name "*.php" -newermt 2026-09-10). Atualizações também alteram datas, então foque em nomes que não fazem parte da versão oficial.
Verifique os logs do servidor web em busca de requisições ao proxy.php
Extraia as requisições ao proxy.php do richdocumentscode dos logs de acesso (por exemplo, grep "richdocumentscode/proxy.php" access.log*). Procure requisições desde cerca de 10 de setembro vindas de origens que você não reconhece, ou requisições com cadeias de caracteres incomumente longas. Algumas requisições usam formas codificadas em URL, então pesquise também simplesmente linhas que contenham "proxy.php" (por exemplo, grep "proxy.php" access.log*). Se seus logs são mantidos apenas por pouco tempo, verifique o que restou e anote o período coberto.
Verifique processos e conexões do usuário do servidor web
Verifique os processos em execução como o usuário do servidor web (www-data, apache, nginx e assim por diante) e as conexões de saída. Procure por shells, ferramentas de download ou qualquer coisa que o servidor web não costuma iniciar. Nosso guia sobre como verificar se seu site ou servidor foi invadido cobre o processo completo.
Se o servidor foi comprometido
Como os comandos são executados como o usuário do servidor web, presuma que tudo o que esse usuário pode ler foi visto (nossa visão). No caso do Nextcloud, isso inclui a senha do banco de dados e as credenciais de armazenamento externo e de e-mail no config.php, além dos arquivos dos usuários.
Respostas a evitar
- Apagar os arquivos encontrados e seguir em frente
- Atualizar sem verificar se alguém entrou
- Reconstruir o servidor antes de preservar os logs
- Restaurar sem trocar as credenciais
Resposta recomendada
- Primeiro tirar o servidor da rede e guardar cópias dos logs e das evidências em outro local
- Trocar as senhas do banco de dados, do armazenamento externo, do e-mail, do administrador e dos apps
- Restaurar a partir de um backup feito antes de 10 de setembro, ou reconstruir, e aplicar a correção antes de voltar a ficar online
- Decidir se os usuários precisam ser informados de que seus arquivos podem ter sido vistos
Um backup restaurado pode trazer de volta uma versão antiga do richdocumentscode. Atualize ou remova o app antes de expor o servidor novamente. Se uma organização usa o servidor, verifique se há obrigações de comunicação sobre dados pessoais. Nosso guia sobre os fundamentos de backup cobre o básico da recuperação.
Para saber como priorizar falhas listadas no KEV, veja como decidir o que corrigir primeiro com CVSS, EPSS e KEV.
O que ainda não se sabe
| Item | Situação |
|---|---|
| Exploração ativa | Confirmada (CISA KEV) |
| Quando os ataques começaram | Relatos de usuários desde cerca de 10 de setembro no repositório dos desenvolvedores; sem declaração oficial |
| Número de servidores ou organizações afetados | Não informado |
| Quem está por trás dos ataques | Não informado |
| Uso em ransomware | "Desconhecido" no KEV; a imprensa diz que não conseguiu confirmar |
| Verificações oficiais de comprometimento ou indicadores | Não constam no aviso |
| O app ARM64 (richdocumentscode_arm64) | Não mencionado no aviso |
Fontes
- Desenvolvedores do Collabora Online, "Unauthenticated OS command injection in the richdocumentscode proxy" (GHSA-g3vx-3m76-fghh, 14 de outubro de 2026) — github.com
- Blog dos desenvolvedores do Collabora Online, "Stay Safe: Upgrade Everything Regularly" (15 de outubro de 2026) — collaboraonline.com
- Lista de lançamentos do richdocumentscode (26.4.303: 11 de setembro) — github.com
- Issue #354 do richdocumentscode (relatos de usuários sobre ataques, a partir de 11 de setembro) — github.com
- Fórum da comunidade Nextcloud, "To Collabora Built-in User: Update ASAP" (a partir de 3 de outubro) — help.nextcloud.com
- CISA, Known Exploited Vulnerabilities Catalog (CVE-2026-110447) — cisa.gov
- BleepingComputer, "Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers" (15 de outubro de 2026) — bleepingcomputer.com
Histórico de atualizações
2026-10-25: Primeira versão, com base no aviso, no blog e na lista de lançamentos dos desenvolvedores, no catálogo KEV da CISA e em reportagens da imprensa.
Leia a seguir
- Verificação de comprometimento: Como verificar se seu site ou servidor foi invadido
- Priorização de correções: Como decidir o que corrigir primeiro: CVSS, EPSS e KEV
- Recuperação: Fundamentos de backup
- Outra falha explorada do mesmo período: SiteGuard Server Edition CVE-2026-106931
- Glossário: O que é RCE? / O que é backdoor? / O que é CVSS?