A CISA incluiu a CVE-2026-110447 no catálogo Known Exploited Vulnerabilities, e a Collabora classificou a falha como crítica. O problema afeta o aplicativo opcional Collabora Online – Built-in CODE Server usado dentro do Nextcloud. Em determinadas condições, um atacante não autenticado pode injetar comandos no sistema operacional por meio do proxy do aplicativo.
A vulnerabilidade recebeu CVSS 4.0 de 9,2. Ela não afeta servidores Collabora Online independentes, instalados separadamente ou executados em contêineres próprios. O risco está no CODE Server empacotado como aplicativo do Nextcloud, identificado pelo pacote richdocumentscode.
O que a falha permite
O advisory oficial da Collabora descreve uma injeção de comandos no sistema operacional por meio do proxy.php. Uma requisição especialmente construída pode fazer com que um comando seja executado com o usuário do servidor web.
A condição mais importante é que o CODE Server embutido esteja parado. Isso pode acontecer durante uma reinicialização do container, uma atualização, uma falha do serviço ou outro período em que o componente ainda não esteja ativo. O fato de o servidor CODE estar temporariamente parado não elimina a exposição.
Desabilitar o aplicativo sem atualizá-lo também não é uma correção suficiente, segundo a Collabora. A recomendação é atualizar o aplicativo para a versão corrigida ou removê-lo completamente caso ele não seja necessário.
Quem está afetado
O alvo é o aplicativo Nextcloud Collabora Online – Built-in CODE Server, também conhecido como richdocumentscode. O advisory da Collabora informa que todas as versões anteriores à 26.4.303 são afetadas.
Instalações que usam somente o aplicativo de integração richdocuments, sem o pacote Built-in CODE Server instalado, não estão sujeitas a este caminho específico. Também não são afetadas por esta vulnerabilidade as instalações que usam Collabora Online em Docker separado, pacote de distribuição ou serviço hospedado independente.
Organizações com Nextcloud em versões antigas devem considerar a compatibilidade do aplicativo. A Collabora informa que usuários de Nextcloud 29 ou anterior devem atualizar o Nextcloud para uma versão suportada ou remover o aplicativo vulnerável.
Versão corrigida
A correção está disponível no aplicativo richdocumentscode versão 26.4.303 ou posterior. A atualização deve ser feita pelo mecanismo de aplicativos do Nextcloud ou pelo procedimento de manutenção adotado pela organização.
Depois da atualização, confirme a versão efetivamente instalada no painel de aplicativos e verifique se o pacote antigo não permanece em outro ambiente, container, snapshot ou diretório de aplicativos. Em ambientes com várias instâncias, repita a checagem em cada nó.
Se o CODE Server embutido não for utilizado, a remoção do aplicativo é preferível a apenas desabilitá-lo. O componente não deve permanecer instalado em um estado vulnerável.
Como verificar a exposição
Na administração do Nextcloud, liste os aplicativos instalados e procure por richdocumentscode ou por “Collabora Online – Built-in CODE Server”. Registre a versão e identifique se a instância usa o CODE Server embutido ou um servidor Collabora externo.
Revise a configuração do proxy reverso e os logs de acesso para localizar requisições ao caminho do proxy do aplicativo. Correlacione esses eventos com reinicializações, atualizações, quedas do serviço CODE e alterações inesperadas de arquivos no diretório de aplicativos.
O risco não depende de o usuário estar editando um documento no momento. A condição relevante é a presença do aplicativo vulnerável e a possibilidade de alcançar o proxy enquanto o CODE Server está parado.
O que fazer imediatamente
Atualize ou remova o aplicativo. Instale o richdocumentscode 26.4.303 ou posterior. Se o componente não for necessário, remova-o completamente. Não trate apenas a desativação como correção.
Limite a exposição durante a manutenção. Restrinja temporariamente o acesso ao Nextcloud a redes confiáveis, revise regras do proxy e aplique controles de autenticação e MFA. Essas medidas reduzem a superfície de ataque, mas não substituem a atualização.
Atualize o Nextcloud sem suporte. Se a instalação usa Nextcloud 29 ou anterior, planeje a migração para uma versão suportada antes de instalar a versão corrigida do aplicativo. Manter componentes antigos amplia o risco e pode impedir a aplicação da correção.
Proteja o usuário do servidor web. Verifique se o processo do Nextcloud não possui permissões desnecessárias sobre o sistema. Separe arquivos da aplicação, dados do usuário e segredos de configuração; isso limita o impacto caso comandos sejam executados com o usuário do serviço.
Como investigar possível comprometimento
Preserve os logs antes de remover ou reinstalar o aplicativo. Procure requisições incomuns ao proxy, períodos de exploração próximos a reinicializações e alterações de arquivos no diretório do Nextcloud. Compare o conteúdo instalado com uma cópia confiável e execute a verificação de integridade do Nextcloud.
Investigue arquivos PHP inesperados, mudanças em aplicativos, tarefas agendadas, alterações no arquivo de configuração e conexões de saída iniciadas pelo usuário do servidor web. Correlacione os eventos com logs do proxy, firewall, DNS e sistema operacional.
Se houver indícios de execução de comandos, isole a instância, preserve uma cópia para análise e reconstrua o aplicativo a partir de uma origem confiável. Redefina senhas administrativas, credenciais de banco de dados, tokens de aplicativos e chaves que pudessem ser lidas pelo usuário do servidor web.
Também é importante revisar os documentos e dados acessíveis pela instância. A execução com o usuário do servidor web pode permitir acesso a arquivos que não estejam adequadamente separados por permissões.
Conclusão
A CVE-2026-110447 exige ação imediata em ambientes Nextcloud que tenham o Collabora Online – Built-in CODE Server instalado. A falha permite injeção de comandos não autenticada quando o CODE Server está parado, situação que pode ocorrer durante reinicializações e atualizações.
Atualize o richdocumentscode para 26.4.303 ou posterior, remova o aplicativo se ele não for necessário e investigue os logs e a integridade da instalação. Servidores Collabora independentes não estão no escopo desta vulnerabilidade, mas devem continuar sendo mantidos em versões suportadas.
Fontes primárias
Collabora: Unauthenticated OS command injection in the richdocumentscode proxy.
CISA: Known Exploited Vulnerabilities Catalog.
CVE.org: CVE-2026-110447.
Nextcloud: Aviso sobre o aplicativo Built-in CODE Server.
