CSIRT Bolívia alerta sobre CVE-2026-110447 no Nextcloud

O CSIRT da Bolívia publicou um aviso sobre a CVE-2026-110447, uma vulnerabilidade crítica de injeção de comandos no Collabora Online Built-in CODE Server para Nextcloud, associada ao aplicativo richdocumentscode. A falha afeta versões anteriores à 26.4.303 e, segundo o alerta, pode permitir a execução de comandos por meio de uma solicitação HTTP adulterada para proxy.php quando o servidor CODE não está em execução.

A quem a falha atinge?

A vulnerabilidade afeta apenas o aplicativo Collabora Online, Built-in CODE Server do Nextcloud, também identificado como richdocumentscode, de acordo com o aviso oficial da Collabora. O mesmo comunicado esclarece que instalações independentes do Collabora Online não são afetadas por esse problema.

Esse recorte importa para organizações que usam Nextcloud com o servidor CODE integrado, especialmente quando essas instâncias ficam expostas à internet, como observou o CSIRT boliviano em sua advertência. O material não traz uma lista de setores ou ambientes comprometidos, mas detalha quais implantações entram, ou não, no risco.

O que diz a Collabora sobre a correção?

A Collabora informou que desabilitar o aplicativo não basta para corrigir a falha. A medida recomendada, segundo o aviso, é atualizar para a versão 26.4.303 ou posterior, ou remover o aplicativo.

O registro CVE acrescenta outro ponto relevante. A vulnerabilidade teria sido explorada ativamente durante setembro e outubro de 2026, e o cenário vulnerável aparece quando o servidor CODE não está em execução, por exemplo após uma reinicialização.

Que informação técnica foi divulgada?

Uma análise técnica publicada pela dbugs afirmou que o proxy.php incorpora texto da requisição em um comando Bash entre aspas duplas. Segundo esse relatório, isso permitiria inserir uma sequência $(...) no caminho e executar comandos sem autenticação.

O mesmo relatório disse que foram observadas web shells em PHP e extração de arquivos sensíveis. Essa parte é atribuída ao trabalho técnico da dbugs, que descreve o comportamento observado durante a exploração.

Também houve cobertura jornalística apontando exploração em andamento. A BleepingComputer informou que atores estavam aproveitando a falha para comprometer servidores Nextcloud e citou a Collabora ao destacar que o Nextcloud All-in-One, as instalações Docker ou RPM/DEB e os servidores Collabora independentes não estariam afetados. A SC Media, por sua vez, disse que a Collabora corrigiu a vulnerabilidade em 11 de setembro com a versão 26.4.303 e publicou o aviso em 14 de outubro, além de reiterar que desabilitar o aplicativo não é uma mitigação suficiente.