Atacantes exploram uma vulnerabilidade crítica de execução de comandos no aplicativo Collabora Online - Built-in CODE Server, conhecido como richdocumentscode, dentro da plataforma Nextcloud. A vulnerabilidade recebeu o identificador CVE-2026-110447, enquanto relatos de administradores indicam que a exploração começou em meados de setembro, cerca de um mês antes da publicação do alerta de segurança oficial e do identificador CVE.
O que está acontecendo?
A vulnerabilidade afeta versões do richdocumentscode anteriores à 26.4.303 e está localizada no mecanismo de execução do servidor Collabora integrado ao aplicativo Nextcloud. O atacante pode enviar uma solicitação especialmente criada ao endpoint proxy.php, o que resulta na injeção e execução de comandos do sistema operacional.
A exploração não exige autenticação nem interação do usuário, mas há uma condição importante: o servidor CODE integrado deve estar parado, como pode ocorrer após a reinicialização ou atualização do servidor, ou depois de uma falha. Administradores relataram que a atividade maliciosa afetou vários endpoints desde 10 de setembro.
Escopo do impacto e medidas de correção
O impacto está limitado ao aplicativo CODE Server integrado e opcional. Segundo a Collabora, servidores independentes do Collabora Online, instalações por Docker e RPM/DEB e distribuições Nextcloud All-in-One não são afetados.
Segundo relatos de administradores, os atacantes instalaram backdoors escritos em PHP e depois os usaram para procurar bancos de dados de senhas, arquivos relacionados a gerenciadores de senhas e carteiras de criptomoedas. Alguns usuários afirmaram que operadores de ransomware também exploram a vulnerabilidade, mas a BleepingComputer não conseguiu confirmar isso de forma independente.
Recomenda-se atualizar para a versão 26.4.303 ou posterior, ou remover o aplicativo caso ele não seja necessário. O fornecedor alerta que apenas desativar o aplicativo não constitui uma correção suficiente. Uma entidade comunitária também publicou um alerta em 3 de outubro, recomendando uma atualização imediata devido à continuidade da exploração.
Por que esta notícia é importante?
O risco prático está no intervalo entre a disponibilidade da correção e a divulgação oficial. A correção foi enviada ao repositório em 9 de setembro, a versão corrigida foi lançada em 11 de setembro, enquanto o alerta e o identificador CVE foram publicados em 14 de outubro, uma diferença superior a quatro semanas. Durante esse período, foi mais difícil para os administradores identificar o problema e associá-lo a uma atividade de ataque em andamento.
A Nextcloud afirmou que a Collabora a informou sobre a vulnerabilidade em meados de setembro e que a atualização se tornou disponível por meio da loja de aplicativos, justificando o atraso na divulgação com a necessidade de dar aos usuários tempo para atualizar e com a ausência de exploração generalizada observada. A Collabora atribuiu o atraso principalmente ao acúmulo no processamento de solicitações de CVE no GitHub, em meio ao aumento dos relatos de vulnerabilidades apoiados por ferramentas de inteligência artificial.
Um estudo citado pela fonte e realizado pela empresa de segurança cibernética Second Security indica que o intervalo mediano entre as correções públicas e a publicação dos identificadores CVE chegou a 39 dias em agosto, em comparação com 5,1 dias em janeiro. O estudo também constatou que códigos de exploração públicos podem surgir poucas horas após o lançamento da correção e dias antes da publicação do CVE, o que reforça a importância de monitorar as próprias atualizações dos produtos e não esperar apenas pelo número CVE para tomar medidas defensivas.