2026-10-25
Vulnerabilidade CVE-2026-110447 no servidor CODE integrado do Nextcloud Collabora explorada: quem é afetado e o que fazer
Em 14 de outubro de 2026, os desenvolvedores do Collabora Online divulgaram a CVE-2026-110447, uma vulnerabilidade de injeção de comando do sistema operacional, sem autenticação, no app do Nextcloud Collabora Online - Built-in CODE Server (ID do app richdocumentscode). Por meio do proxy.php do app, comandos podem ser executados como o usuário do servidor web. A condição é que o servidor CODE integrado não esteja em execução, o que pode acontecer após reinicialização de contêiner, atualização ou falha. Versões anteriores à 26.4.303 são afetadas; a 26.4.303 foi lançada em 11 de setembro. Os desenvolvedores afirmam que desativar o app não impede o problema e pedem que os usuários atualizem ou removam o app. No Nextcloud 29 e versões anteriores, que já não recebem suporte, atualize o Nextcloud ou remova o app. Os desenvolvedores afirmam que servidores Collabora Online independentes, imagens Docker, pacotes RPM/DEB e Nextcloud All-in-One não são afetados. A pontuação CVSS v4.0 é 9,2. A CISA incluiu a falha em seu catálogo Known Exploited Vulnerabilities (KEV) em 23 de outubro, com prazo em 26 de outubro. Usuários relataram ataques a partir de cerca de 10 de setembro no repositório dos desenvolvedores e, segundo reportagens da imprensa, web shells foram plantados. Conclusão deste site: se o app CODE integrado estiver instalado, mesmo desativado, verifique a versão hoje, atualize ou remova o app e depois procure sinais de comprometimento desde 10 de setembro.