Nextcloud è una delle piattaforme open source più usate in Europa come alternativa "sovrana" a Google Workspace e Microsoft 365: la usano ministeri, amministrazioni pubbliche e aziende che vogliono tenere i propri documenti su server europei. Da metà settembre 2026, però, un componente opzionale molto diffuso di questa piattaforma, l'editor online integrato basato su Collabora, è stato sfruttato da hacker per installare webshell e cercare password e portafogli di criptovalute sui server compromessi. La falla, catalogata come CVE-2026-110447 e valutata 9,2 su 10 nella scala CVSS, è stata rivelata pubblicamente solo il 14 ottobre, oltre un mese dopo la correzione.
La falla: un comando iniettato tramite proxy.php
Il problema riguarda l'app richdocumentscode, cioè il "Collabora Online Built-in CODE Server": un componente opzionale che permette a chi gestisce un'istanza Nextcloud di eseguire l'editor di documenti Collabora direttamente sullo stesso server, senza dover installare e mantenere un servizio Collabora separato. Sono vulnerabili tutte le versioni precedenti alla 26.4.303. Non sono invece coinvolti i server Collabora Online installati in modo autonomo, né le installazioni Nextcloud All-in-One, né l'app Nextcloud Office priva del componente integrato.
Il file proxy.php di questa app avvia il server CODE locale ogni volta che riceve una richiesta, se lo trova fermo. Nelle versioni fino alla 26.4.302 il testo della richiesta, incluso il percorso dell'URL, veniva inserito senza controlli in un comando bash tra doppie apici, dove la sintassi $(...) viene comunque eseguita. Bastava quindi inviare una richiesta non autenticata con un comando camuffato nel percorso per farlo eseguire con i permessi dell'utente del web server. L'unica condizione necessaria è che il server CODE locale sia momentaneamente fermo, situazione che si verifica di routine dopo un riavvio, un aggiornamento o un crash del processo.
Webshell, ricerca di password e portafogli crypto
Una volta dentro, gli attaccanti hanno piazzato webshell PHP di una sola riga nella cartella dell'app, che permettono di eseguire comandi tramite semplici richieste web. In un caso documentato, l'attaccante ha fatto eseguire il comando uname -a e ne ha inviato l'output a un indirizzo su webhook.site, poi ha cercato file tipici di gestori di password e portafogli di criptovalute. Nessun amministratore ha segnalato finora un accesso con privilegi di root, ma chi ha analizzato gli attacchi avverte che qualsiasi dato leggibile dall'account del web server va considerato potenzialmente esposto. Alcuni amministratori hanno riferito di episodi riconducibili a gruppi ransomware, ma la notizia non ha ancora conferme indipendenti.
Gli indicatori di compromissione resi pubblici includono nomi di file come shx5cf91.php o shxd33ce.php nella cartella dell'app richdocumentscode, e richieste sospette verso proxy.php?status contenenti sequenze come %2e%2e, $(, ${IFS} oppure un comando base64 -d incanalato verso una shell.
Una divulgazione lenta: la cronologia dei fatti
La correzione del codice è stata scritta il 20 agosto 2026, ma la versione 26.4.302, uscita 11 giorni dopo, non la includeva ancora. La patch vera e propria è stata inclusa solo nella versione 26.4.303, rilasciata l'11 settembre, un giorno dopo il primo attacco registrato dagli amministratori. Un secondo tentativo contro un server già aggiornato, il 14 settembre, non è andato a buon fine. Il 24 settembre è uscita la versione 26.4.402, che però alcuni amministratori hanno segnalato come instabile, tornando alla 26.4.303. Solo il 3 ottobre la comunità Nextcloud ha diffuso un primo avviso pubblico sull'exploitation in corso, e soltanto il 14 ottobre sono stati pubblicati l'advisory ufficiale e il codice CVE, più di un mese dopo la disponibilità della patch. Collabora ha attribuito il ritardo soprattutto all'arretrato nella procedura di assegnazione dei CVE su GitHub; Nextcloud ha dichiarato di non aver osservato una exploitation diffusa e che il ritardo ha dato più tempo agli utenti per aggiornare.
Chi è a rischio e cosa fare subito
Chi gestisce un'istanza Nextcloud con il componente Collabora integrato attivo deve aggiornare l'app richdocumentscode alla versione 26.4.303 o successiva, oppure rimuoverla del tutto: secondo l'advisory, limitarsi a disattivarla non basta a chiudere il rischio. Chi è ancora su Nextcloud 29 o versioni precedenti non può installare la 26.4.303 e deve prima aggiornare l'intera piattaforma almeno alla versione 30. Anche dopo l'aggiornamento, è bene verificare manualmente l'eventuale presenza di file sospetti del tipo shx*.php nella cartella apps/richdocumentscode/ e controllare i log di accesso almeno dal 10 settembre in avanti, cercando le richieste sospette descritte sopra. Se l'istanza risulta compromessa, la raccomandazione è trattare come potenzialmente esposto tutto ciò che l'account del web server poteva leggere, incluse credenziali salvate altrove sul server.
PINET ha seguito altri episodi recenti dello stesso filone, quello delle falle critiche in software aziendale esposto direttamente a internet: a fine settembre erano stati i due zero-day critici su Citrix NetScaler a mettere a rischio le VPN aziendali, mentre a inizio ottobre era stato il turno di un zero-day su FortiMail già sotto attacco reale. Anche in questo caso il bersaglio è un componente esposto e con privilegi elevati, capace di aprire le porte dell'intera istanza a chi lo sfrutta per primo.
Perché riguarda anche la PA e le aziende italiane
Nextcloud non è un prodotto di nicchia: l'amministrazione federale tedesca lo usa come piattaforma di scambio file sicuro, un ministero austriaco l'ha adottato per la collaborazione interna, e diversi governi europei lo stanno sperimentando proprio nell'ambito delle iniziative per una "collaborazione digitale sovrana" alternativa ai grandi fornitori cloud statunitensi. In Italia lo stesso tipo di soluzione viene scelto da enti pubblici e aziende che vogliono mantenere dati e documenti su infrastrutture europee, spesso per motivi di conformità al GDPR o di autonomia digitale. Il componente colpito, l'editor Collabora integrato, è proprio quello che permette di modificare documenti di testo e fogli di calcolo direttamente nel browser, una funzione usata quotidianamente da chi adotta Nextcloud come alternativa a Google Docs o Microsoft 365 Online.
Il commento di PINET
Per la pubblica amministrazione e le imprese italiane che hanno scelto Nextcloud o soluzioni open source simili per motivi di sovranità digitale, questo episodio non è un argomento contro quella scelta, ma un richiamo a trattarla con la stessa disciplina di patching richiesta a qualsiasi piattaforma cloud commerciale. Il problema pratico non è tecnico ma organizzativo: sapere quali componenti opzionali sono davvero attivi sulle proprie istanze, chi è responsabile di aggiornarli entro giorni e non entro mesi, e come reagire quando un fornitore impiega settimane a pubblicare un CVE già corretto. Per gli enti italiani che stanno valutando un cloud nazionale o europeo come alternativa ai grandi hyperscaler statunitensi, episodi come questo mostrano che la sovranità dei dati non elimina da sola il rischio informatico, lo sposta semplicemente su una filiera di manutenzione che deve essere comunque presidiata con risorse e competenze adeguate, spesso scarse proprio nelle amministrazioni più piccole. Il giudizio resta misurato: la falla è corretta da oltre un mese e non risulta una exploitation massiva, ma la lentezza della divulgazione pubblica è un segnale da non ignorare per chi pianifica audit periodici sui propri fornitori open source.
Fonte: BleepingComputer
