CVE-2026-110447: RCE in Collabora Online CODE Server

CVE-2026-110447 è un'iniezione di comandi OS in proxy.php che colpisce Collabora Online Built-in CODE Server (richdocumentscode), app per Nextcloud in versioni precedenti alla 26.4.303. La falla consente l'esecuzione remota di codice quando il server CODE non è in esecuzione, ad esempio dopo il riavvio del sistema. L'impatto è confinato alle installazioni Nextcloud con CODE Server integrato; i server Collabora Online standalone non sono vulnerabili.

Il CVSS ufficiale è 9,8 con rating critical. La vulnerabilità è stata attivamente sfruttata in the wild nei mesi di settembre e ottobre 2026. Repository pubblici su GitHub hanno segnalato exploit il 29 ottobre 2026, coincidendo con il calendario di sfruttamento reale. Si tratta di una vulnerabilità distinta da CVE-2025-66208, altra falla in Collabora. NIST ha pubblicato il bollettino il 14 ottobre 2026.

Le azioni immediate sono: aggiornare Collabora Online CODE Server alla versione 26.4.303 o superiore, esaminare i log di proxy.php per comandi sospetti durante i periodi in cui il CODE server è inattivo, monitorare l'esecuzione di processi con privilegi elevati sui sistemi Nextcloud coinvolti. Poiché la condizione di trigger è l'inattività del CODE server, la continuità operativa e l'avvio automatico del servizio riducono significativamente la finestra di esposizione.

Aspetti cruciali per la difesa: la vulnerabilità non riguarda installazioni di Collabora Online standalone (non integrate con Nextcloud). Gli amministratori Nextcloud devono verificare la versione di richdocumentscode attualmente in uso tramite il pannello di amministrazione. È fondamentale controllare che il CODE server sia configurato per l'avvio automatico dopo riavvii di sistema e implementare monitoring continuo sulla disponibilità del servizio per identificare rapidamente finestre di inattività indesiderate.