Nextcloud e Collabora: desabilitar um componente não prova que seu código ficou inacessível

A CVE-2026-110447 afeta o aplicativo opcional Collabora Online - Built-in CODE Server, pacote richdocumentscode, em versões anteriores à 26.4.303.[5] O ataque não exige autenticação, mas depende de o servidor CODE local estar parado, por exemplo durante reinicialização, atualização ou falha.[5] Nessas condições, o proxy PHP vulnerável pode interpretar conteúdo da requisição pelo shell, com as permissões do usuário do servidor web.[5]

O que muda para quem desenvolve

Não é uma falha genérica de qualquer instalação do Nextcloud Office: usar apenas richdocuments com um servidor Collabora separado não segue esse caminho vulnerável.[5] A distinção entre o conector e o servidor embutido precisa aparecer no inventário, não apenas no nome comercial da funcionalidade.

O detalhe mais instrutivo está no controle de desativação. Desabilitar o aplicativo pela interface não basta, porque o PHP pode continuar acessível diretamente.[5] Como princípio de projeto, “desativado” precisa ser uma propriedade observável do caminho de execução. Um estado na interface administrativa não é evidência suficiente.

Outro ponto é o comportamento durante transições. Vale incluir parada, falha e retomada no desenho de segurança, não apenas o estado em que o serviço principal responde normalmente.

Como aplicar

Confira o nome exato dos aplicativos instalados, a versão do pacote embutido e a versão do Nextcloud. A orientação é atualizar o componente para 26.4.303 ou posterior, ou removê-lo.[5] As versões corrigidas exigem Nextcloud 30 ou posterior; instalações na linha 29 ou mais antiga precisam atualizar a plataforma ou retirar o componente.[5]

Antes de remover arquivos suspeitos, preserve evidências e organize a investigação. Três administradores relataram invasões, com pequenas web shells gravadas na pasta do aplicativo nos registros analisados.[5] Atualizar não elimina automaticamente uma shell já instalada.[5]

Para validar o conceito de desativação sem explorar a falha, crie uma instalação de laboratório equivalente e compare a acessibilidade dos pontos de entrada do componente antes e depois de desabilitá-lo. Não use dados reais nem exponha deliberadamente uma versão vulnerável à internet. Defina como aceite a impossibilidade de alcançar código executável não autorizado, e não apenas o desaparecimento de um botão.

Cuidados e limites

Os relatos analisados não demonstram obtenção de root nem comprovam envio dos arquivos procurados para fora do servidor.[5] Ao mesmo tempo, dados legíveis pelo usuário web precisam ser tratados como potencialmente expostos.[5] Ausência de prova de exfiltração não deve virar prova de ausência.

A versão 26.4.402 introduz outra mudança na construção do comando, mas havia relatos de regressão; a 26.4.303 é explicitamente reconhecida como corrigida no aviso.[5] Planeje segurança e compatibilidade juntas. Encontrar uma versão corrigida hoje responde sobre o código atual, não sobre a integridade histórica da instalação.

Fonte

[5] Fonte: The Hacker News