Sintesi

Questo CSIRT ha rilevato, nel contesto nazionale, una compromissione di un server Nextcloud attraverso lo sfruttamento della vulnerabilità identificata tramite la CVE-2026-110447 , con gravità “critica”, nel componente Collabora Online – Built-in CODE Server (richdocumentscode), impiegato per la modifica collaborativa di documenti.

L’evento ha comportato l’esecuzione di comandi con i privilegi dell’utenza associata al web server, l’installazione di tre webshell e il prelievo di un file di configurazione contenente credenziali tecniche e segreti applicativi. Le evidenze raccolte risultano compatibili con una campagna di sfruttamento automatizzata, tuttora attiva e condotta da più attori.

Tipologia

• Remote Code Execution

Descrizione e potenziali impatti

La vulnerabilità identificata tramite la CVE-2026-110447 , di tipo ”OS Command Injection” e con CVSS v4.0 pari a 9.2, interessa il componente Collabora Online – Built-in CODE Server per Nextcloud. Questa vulnerabilità è dovuta a un’errata convalida di parametri di input nel file proxy.php. Un attaccante remoto non autenticato potrebbe sfruttare tale vulnerabilità per inviare richieste HTTP opportunamente predisposte al fine di iniettare comandi di sistema ed eseguirli con i privilegi dell’utenza associata al web server.

Lo sfruttamento è possibile quando il servizio CODE integrato non è in esecuzione, ad esempio a seguito di un riavvio, di un aggiornamento o di un arresto anomalo. La vulnerabilità riguarda questa modalità di distribuzione del componente e non interessa i server Collabora Online installati separatamente.

L’esecuzione di comandi può consentire di installare strumenti di accesso remoto, leggere o modificare le informazioni accessibili all’utenza del web server e compromettere la disponibilità del servizio sui sistemi interessati. L’acquisizione di credenziali e segreti applicativi potrebbe inoltre consentire ulteriori accessi alle risorse associate, nei limiti dei permessi concessi alle utenze compromesse.

Considerazioni sull’incidente analizzato

Nel caso in esame, l’attaccante ha sfruttato il componente vulnerabile installato su un server Nextcloud destinato all’erogazione di un servizio documentale. Ha successivamente installato tre webshell e prelevato un file di configurazione contenente, tra gli altri elementi, credenziali relative a un database locale e a una casella di posta di servizio, nonché chiavi e segreti applicativi.

Dalle evidenze disponibili risulta l’esecuzione di un singolo comando di verifica attraverso una delle webshell. Al momento, non sono emerse evidenze di accesso ai documenti degli utenti, acquisizione di privilegi amministrativi, persistenza tramite ulteriori meccanismi o movimenti laterali verso altri sistemi.

Prodotti e versioni affette

Collabora Online – Built-in CODE Server per Nextcloud (richdocumentscode), versioni precedenti alla 26.4.303

Azioni di mitigazione

Ove non già provveduto, si raccomanda di aggiornare tempestivamente i prodotti vulnerabili all’ultima versione disponibile, seguendo le indicazioni fornite ai link disponibili nella sezione Riferimenti.

• Aggiornare il componente richdocumentscode a una versione corretta, a partire dalla 26.4.303. Qualora non sia possibile procedere all’aggiornamento, rimuovere il componente: la sola disabilitazione dall’interfaccia di Nextcloud non costituisce una mitigazione sufficiente.

• Per le installazioni Nextcloud non più supportate, aggiornare la piattaforma a una versione supportata e compatibile con il componente corretto oppure rimuovere richdocumentscode.

• Verificare l’integrità del core di Nextcloud e delle applicazioni installate, ricercando file non autorizzati e possibili webshell, anche nella directory del componente interessato. Correlare i risultati con i log del web server, del reverse proxy e delle soluzioni di sicurezza per ricostruire eventuali richieste anomale a proxy.php e attività successive.

• In presenza di evidenze di compromissione, isolare i sistemi interessati e acquisire e conservare le evidenze prima delle attività di bonifica, compatibilmente con le esigenze di contenimento. Estendere le verifiche alle altre istanze e alle risorse raggiungibili mediante le credenziali esposte.

• Da un ambiente attendibile, ruotare le credenziali tecniche, le password delle utenze di servizio e i segreti applicativi potenzialmente esposti; revocare e sostituire le chiavi compromesse e, ove necessario, i certificati associati. Verificare eventuali utilizzi non autorizzati delle utenze del database e della posta di servizio.

• Completare le verifiche su accessi ai dati, account, ulteriori meccanismi di persistenza e movimenti laterali. Per i sistemi compromessi, valutare la ricostruzione da fonti attendibili e il ripristino di soli dati verificati prima della rimessa in servizio.

Buone pratiche di configurazione e hardening

Per ridurre la superficie di attacco e limitare le conseguenze di eventuali compromissioni, si raccomanda di:

• mantenere aggiornati Nextcloud, le applicazioni, il sistema operativo e i componenti del web server, rimuovendo quelli non necessari o non più supportati;

• limitare l’esposizione su Internet alle sole funzionalità necessarie e riservare gli accessi amministrativi a reti di gestione dedicate, tramite VPN ove previsto; configurare reverse proxy e sistemi di protezione delle applicazioni web coerentemente con i servizi da erogare;

• segmentare la rete, limitando le comunicazioni dei server applicativi verso database, servizi interni e destinazioni esterne alle sole connessioni necessarie;

• applicare il principio del minimo privilegio alle utenze del web server, del database e della posta di servizio, utilizzando credenziali distinte e limitando l’accesso ai file di configurazione;

• centralizzare e conservare i log, monitorare l’integrità dei file applicativi e configurare avvisi per modifiche non autorizzate, processi anomali e connessioni inattese.