Chi usa Nextcloud con l’app Collabora Online – Built-in CODE Server deve aggiornarla subito. La CISA statunitense ha inserito la vulnerabilità Collabora CVE-2026-110447 nel catalogo Known Exploited Vulnerabilities (KEV), cioè tra le falle con prove di sfruttamento attivo. Nella stessa giornata è stata aggiunta anche la CVE-2026-114625 di Arista VeloCloud Orchestrator. Per le agenzie federali statunitensi la scadenza per correggerle è oggi, 26 ottobre 2026.
Vulnerabilità Collabora su Nextcloud: cosa succede
Secondo l’advisory pubblicato su GitHub dal progetto Collabora Online, la falla riguarda il pacchetto richdocumentscode nelle versioni precedenti alla 26.4.303. Una richiesta al file proxy.php può far eseguire un comando del sistema operativo con i permessi dell’utente del server web. La gravità è critica, con punteggio CVSS v4 pari a 9,2, e non servono credenziali.
L’attacco funziona solo quando il server CODE integrato non è in esecuzione, per esempio dopo un riavvio del container, un aggiornamento o un crash. L’advisory precisa che disattivare l’app non basta: va aggiornata almeno alla 26.4.303 oppure rimossa. I server Collabora Online autonomi non sono interessati.
Web shell già trovate sui server
Il problema era emerso già all’inizio di ottobre sul forum di supporto di Nextcloud, dove un utente segnalava che alcuni amministratori avevano trovato web shell sui propri server. Secondo The Hacker News, gli attaccanti hanno usato la falla per installare web shell, fare ricognizione e cercare archivi di credenziali, dati di password manager e wallet di criptovalute.
Non sono interessati, secondo la stessa segnalazione, chi usa l’app richdocuments senza richdocumentscode, chi esegue Collabora tramite Docker o pacchetti della distribuzione e chi si affida a un servizio Collabora in hosting.
Arista VeloCloud, sfruttata la CVE-2026-114625
La seconda falla riguarda Arista VeloCloud Orchestrator (VCO) On-Prem, la piattaforma che gestisce le reti SD-WAN VeloCloud. Il CSIRT Italia dell’ACN spiega che si tratta di una SQL injection con CVSS 9.9: un attaccante remoto autenticato, anche con il ruolo minimo Enterprise Read Only, potrebbe ottenere privilegi elevati impersonando un account «superuser operator».
Arista ha rilevato lo sfruttamento attivo. Le versioni corrette sono la 5.2.3.18, la 6.1.3.10 e la 6.4.2.12; per le release a fine supporto il vendor consiglia di contattare l’assistenza tecnica.
Cosa fare
- Verificare nel pannello app di Nextcloud se è installato Collabora Online – Built-in CODE Server e aggiornarlo alla 26.4.303 o successiva, oppure rimuoverlo.
- Chi usa Nextcloud 29 o precedenti, non più supportato, deve aggiornare Nextcloud o rimuovere l’app.
- Controllare la presenza di file PHP sospetti e attività anomale sul server, perché la falla è stata sfruttata prima della diffusione della correzione.
- Per Arista VCO On-Prem, installare le versioni corrette e valutare gli indicatori di compromissione indicati dal vendor.
Nextcloud è basato su PHP: chi gestisce questi server dovrebbe anche verificare gli aggiornamenti per le falle critiche di PHP. Gli attacchi che sfruttano falle note o sconosciute restano molto diffusi, come emerge anche dai dati sul ransomware nel retail.
Fonti: CISA; CISA KEV Catalog; Collabora Online, advisory GHSA-g3vx-3m76-fghh; Forum Nextcloud; ACN – CSIRT Italia; The Hacker News.
