CISA stringe su Nextcloud: tre giorni per chiudere CVE-2026-110447

Il 23 ottobre 2026 CISA ha inserito CVE-2026-110447 nel catalogo KEV con scadenza federale il 26 ottobre. La vulnerabilità colpisce il modulo richdocumentscode di Nextcloud e richiede aggiornamento o rimozione: disabilitare l'app non basta.

Il 23 ottobre 2026 il Cybersecurity and Infrastructure Security Agency (CISA) ha aggiunto CVE-2026-110447 al proprio catalogo Known Exploited Vulnerabilities (KEV), fissando per le agenzie federali una scadenza di remediation al 26 ottobre 2026. La vulnerabilità interessa il modulo opzionale Collabora Online Built-in CODE Server (app Nextcloud richdocumentscode): un'iniezione di comandi del sistema operativo, sfruttabile senza autenticazione quando il server CODE non è in esecuzione, consente esecuzione remota di codice con i privilegi dell'utente del web server.

Punti chiave

Il punteggio CVSS 4.0 è 9.2 (Critical) secondo il record CVE ufficiale, con vettore di attacco da rete e bassa complessità.
La patch 26.4.303 è stata pubblicata l'11 settembre 2026, ma l'advisory ufficiale (GHSA-g3vx-3m76-fghh) è uscito solo il 14 ottobre, con un divario di oltre un mese.
Disabilitare l'applicazione non elimina il rischio: è necessario aggiornare a ≥26.4.303 o rimuovere completamente il modulo.
Gli attacchi confermati risalgono al 10 settembre 2026, con deployment di web shell e furto di credenziali da file di configurazione.

La falla nel modulo proxy.php

Il nucleo tecnico risiede nel file proxy.php dell'app richdocumentscode, che gestisce il proxying delle richieste verso il server Collabora integrato. Secondo l'advisory GHSA-g3vx-3m76-fghh pubblicato da Collabora il 14 ottobre 2026, l'iniezione di comandi del sistema operativo si attiva in una condizione temporanea: quando il built-in CODE server non è in esecuzione. Questo stato transitorio si verifica durante il riavvio del container, un aggiornamento o in seguito a un crash.

Il record ufficiale CVE, con classificazione CWE-78, descrive la vulnerabilità come "OS command injection in proxy.php when the CODE server isn't running". Il vettore CVSS 4.0 documentato è AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N: attacco da rete, complessità bassa, tempo di esecuzione parziale, nessun privilegio richiesto, nessuna interazione utente, impatto massimo su confidenzialità, integrità e disponibilità.

I comandi vengono eseguiti con l'identità dell'utente del web server, non come root. Questa limitazione non impedisce, come documentato negli incidenti confermati, l'installazione di web shell PHP nella directory apps/richdocumentscode e l'esfiltrazione di file di configurazione contenenti credenziali.

L'illusione della mitigazione rapida

Un punto di frizione tecnico-amministrativo emerge con nettezza dal comunicato di Collabora: la disabilitazione dell'app non costituisce remediation. La fonte cita testualmente: "It is not sufficient to disable the app to avoid the problem, it must be upgraded to >= 26.4.303 or removed". Questa caratteristica deriva dalla natura del file proxy.php, che resta raggiungibile via HTTP anche con l'app disabilitata se il file system non viene modificato.

La matrice di impatto si complica per le installazioni su versioni End-of-Life di Nextcloud. La release 26.4.303 richiede Nextcloud 30 o versioni successive. Per le istanze su Nextcloud 29 o precedenti — per cui il massimo disponibile è la 26.4.104 — l'aggiornamento del modulo non è tecnicamente possibile. Collabora ha indicato esplicitamente che gli utenti di queste piattaforme devono "upgrade their Nextcloud or remove this app".

I server Collabora standalone, le immagini Docker, i pacchetti RPM/DEB e l'istanza Nextcloud All-in-One non sono colpiti, come confermato sia dall'advisory del vendor sia dal record CVE.

La timeline che espone l'intervallo di esposizione

La sequenza temporale rivela un intervallo critico di visibilità ridotta per gli amministratori. Il fix 26.4.303 è stato rilasciato l'11 settembre 2026, ma l'assegnazione CVE e la pubblicazione dell'advisory sono slittate al 14 ottobre. Nel frattempo, i log di amministratori documentano exploitation attiva già dal 10-11 settembre, con segnalazioni su GitHub issue #354 che descrivono web shell PHP rinvenute nella directory del modulo.

Il primo reporter sull'issue ha precisato che "anything the web server account could read must be treated as potentially affected", indicando la necessità di un triage forenso esteso oltre la semplice rimozione del payload.

L'ACN (CSIRT Italia) ha confermato un compromesso su territorio nazionale con tre web shell e furto di un file di configurazione contenente credenziali. CERT Polska ha segnalato che la vulnerabilità è attivamente utilizzata per attacchi ransomware e takeover di server, sebbene il campo Known to be Used in Ransomware Campaigns? nel catalogo CISA risulti "Unknown" al momento dell'inserimento KEV.

CISA ha emesso l'alert KEV il 23 ottobre 2026, citando il Binding Operational Directive 26-04 (BOD 26-04) che impone alle agenzie federali di completare la remediation entro la fine del weekend: tre giorni netti dall'inserimento in catalogo.

"The attack only works while the built-in CODE server is not running. So on a container restart, an upgrade, or after a crash." — Collabora GHSA-g3vx-3m76-fghh

Cosa fare adesso

Verificare la presenza del modulo richdocumentscode: solo le istanze Nextcloud con questo app installato sono esposte; i server senza modulo built-in non richiedono azione su questa CVE.
Aggiornare a 26.4.303 o superiore se si utilizza Nextcloud 30+; per versioni precedenti, pianificare l'upgrade della piattaforma o la rimozione completa del modulo dal file system, non solo la disattivazione.
Condurre triage forenso sulle istanze che avevano il modulo attivo nel periodo settembre-ottobre 2026: CISA richiede esplicitamente forensic triage: Yes nel campo catalogo KEV.
Ricercare web shell e rotazione credenziali nelle installazioni compromesse: la semplice applicazione della patch non rimuove accessi persistenti o dati già esfiltrati.

La lezione del divario advisory-patch

Il caso CVE-2026-110447 illustra una dinamica ricorrente nell'ecosistema open-source enterprise: la pubblicazione del codice corretto non coincide automaticamente con la consapevolezza del rischio. Per oltre un mese, tra l'11 settembre e il 14 ottobre 2026, il fix era disponibile nei repository ma non etichettato come security-critical, lasciando amministratori senza gli strumenti per valutare la priorità dell'aggiornamento.

L'accelerazione imposta da CISA — tre giorni dalla KEV alla deadline federale — contrasta con quella fase di opacità. Per le organizzazioni non soggette a BOD 26-04, la scadenza del 26 ottobre funge da segnale di mercato: l'exploitation è confermata, il meccanismo è documentato, e la superficie di attacco, seppur condizionata allo stato del server CODE, è sufficientemente riproducibile per essere automatizzata.

Domande frequenti

Il mio Nextcloud è vulnerabile se non uso Collabora?: No. La vulnerabilità è circoscritta al modulo opzionale richdocumentscode. I server Collabora standalone, Docker o Nextcloud All-in-One non sono interessati.
Ho disabilitato l'app: sono protetto?: No. Secondo l'advisory ufficiale Collabora, la disabilitazione non impedisce l'accesso a proxy.php: è richiesto l'aggiornamento alla 26.4.303+ o la rimozione completa dal file system.
Posso aggiornare solo il modulo se ho Nextcloud 29?: No. La versione 26.4.303 richiede Nextcloud 30+. Sulle release 29 e precedenti, il massimo disponibile è la 26.4.104 che non include il fix. È necessario aggiornare la piattaforma Nextcloud o rimuovere il modulo.

Fonti

Fonti e riferimenti

Ricevi DeafLetter