Nextcloud con Collabora integrato: falla sfruttata, server colpito in Italia

Il 16 ottobre 2026 il CSIRT Italia ha pubblicato il bollettino BL02/261016/CSIRT-ITA: un server Nextcloud usato per la gestione documentale è stato compromesso in Italia attraverso la vulnerabilità CVE-2026-110447, che si trova nel server Collabora integrato, l'app che permette di aprire e modificare i documenti dentro Nextcloud. La falla ha gravità 9,2 su 10. Secondo eSecurity Planet, gli attacchi erano in corso già dal 10 settembre.

Chi è esposto?

Nextcloud è una piattaforma per condividere file, calendari e documenti, una sorta di "Dropbox in casa" che aziende e studi possono installare sui propri server per tenere i dati sotto controllo. Per modificare i documenti online si può collegare a Collabora Online in due modi: con un server Collabora separato, oppure con l'app "Collabora Online - Built-in CODE Server" (il nome tecnico è richdocumentscode), che fa girare tutto sullo stesso server di Nextcloud.

La falla riguarda solo la seconda modalità, nelle versioni dell'app precedenti alla 26.4.303. I server Collabora separati non sono coinvolti.

Come funziona l'attacco?

Il difetto è un'iniezione di comandi in un file dell'app, proxy.php. Chi attacca, senza credenziali, può far eseguire comandi al server con i permessi del servizio web. Il CSIRT precisa una condizione: serve che il servizio Collabora integrato sia fermo in quel momento, per esempio dopo un riavvio, un aggiornamento o un blocco. Riavvii e aggiornamenti fanno parte della vita normale di un server, quindi per un attacco automatizzato basta provare e riprovare.

Nel caso italiano l'attaccante ha installato tre web shell e ha rubato un file di configurazione con dentro le credenziali del database, quelle di una casella email di servizio e le chiavi segrete dell'applicazione. Il CSIRT non ha trovato, finora, accessi ai documenti degli utenti né movimenti verso altri sistemi. Ma descrive l'attività come una campagna automatizzata di più attori, ancora in corso.

eSecurity Planet aggiunge che, in altri casi, gli attaccanti hanno cercato file legati a gestori di password e portafogli di criptovalute.

Perché disattivare l'app non basta?

È il punto più importante del bollettino. Il CSIRT scrive che la sola disattivazione dall'interfaccia di Nextcloud non è una mitigazione sufficiente: il file vulnerabile resta raggiungibile. Bisogna aggiornare l'app o rimuoverla del tutto.

Inoltre eSecurity Planet ricorda che le versioni di Nextcloud fino alla 29 sono fuori supporto: chi è rimasto indietro deve prima aggiornare Nextcloud stesso.

Cosa cambia per una PMI o uno studio?

Chi ha scelto Nextcloud lo ha fatto spesso per una buona ragione: tenere i documenti dei clienti sotto il proprio controllo. Ma "in casa" vuol dire anche che gli aggiornamenti toccano a te o al tuo fornitore. Un file di configurazione rubato è sufficiente per arrivare al database e alla posta di servizio, quindi anche se i documenti sembrano intatti il rischio non è finito.

Cosa fare adesso?

1. Controlla se è installata l'app richdocumentscode e in che versione.
2. Aggiornala alla 26.4.303 o successiva, oppure rimuovila. Non limitarti a disattivarla.
3. Aggiorna Nextcloud a una versione supportata, se sei fermo alla 29 o prima.
4. Cerca file PHP sospetti nella cartella dell'app (apps/richdocumentscode/) e richieste anomale a proxy.php nei registri del server, a partire da settembre.
5. Se trovi tracce, isola il server e conserva le prove, poi cambia da un ambiente sicuro le password del database, della posta di servizio e le chiavi dell'applicazione.
6. Valuta di ricostruire il server da zero e di ripristinare solo dati verificati, come suggerisce il CSIRT.

Il CSIRT ha segnalato nello stesso periodo anche i server di posta Zimbra compromessi in Italia. Se gestisci dati di clienti, ripassa anche le regole di base sulla sicurezza dei dati nel gestionale.

Ne parliamo?

Uno strumento interno o un portale per i clienti dove scambiare documenti si può progettare in modo che gli aggiornamenti non dipendano dalla buona volontà di qualcuno. Se oggi usi Nextcloud o un sistema simile e vuoi capire se è messo bene, partiamo da una consulenza tecnica. Scrivimi dalla pagina contatti.

Fonti

• Nextcloud: rilevato sfruttamento di una vulnerabilità nel componente Collabora Online Built-in CODE Server (ACN, CSIRT Italia)
• Hackers Use Critical Collabora Flaw to Compromise Nextcloud Servers (eSecurity Planet)

Crediti delle immagini

• Copertina: foto di panumas nikhomkhai su Pexels