Atacantes estão a aproveitar uma falha crítica, agora identificada como CVE-2026-110447, na aplicação Collabora Online, Built-in CODE Server (richdocumentscode), um componente opcional do Nextcloud que permite editar documentos no próprio servidor. Segundo relatos de vários administradores, os ataques começaram muito antes de a vulnerabilidade ter número oficial, boletim de segurança ou aviso no GitHub.
O que está em causa
O problema afecta as versões da aplicação anteriores à 26.4.303 e está no mecanismo que arranca o servidor Collabora incluído no pacote. Um atacante envia um pedido preparado para o efeito ao ponto de acesso proxy.php e consegue executar comandos no sistema operativo do servidor. Não precisa de credenciais nem de qualquer acção de um utilizador.
Há uma condição: o servidor CODE embutido tem de estar parado, o que acontece, por exemplo, depois de um reinício, de uma actualização ou de uma falha. São situações comuns na vida normal de qualquer servidor.
A falha limita-se a esta aplicação opcional. Segundo a Collabora, não são afectados os servidores Collabora Online autónomos, as instalações em Docker ou por pacotes RPM e DEB, nem as instalações Nextcloud All-in-One.
O que os atacantes fazem
Os administradores afectados relatam ataques desde 10 de Setembro. Depois de entrarem, os atacantes deixaram webshells em PHP, ou seja, ficheiros que funcionam como porta das traseiras e permitem voltar ao servidor mais tarde. Usaram-nas para procurar bases de dados de palavras-passe, vestígios de gestores de palavras-passe e carteiras de criptomoedas. Alguns utilizadores dizem que grupos de ransomware também estão a explorar a falha, mas o BleepingComputer não conseguiu confirmar.
Um mês entre a correcção e o aviso oficial
A correcção foi integrada no código a 9 de Setembro e a versão 26.4.303 foi publicada a 11 de Setembro. O aviso de segurança e o identificador CVE só apareceram a 14 de Outubro, mais de quatro semanas depois. Pelo meio, a 3 de Outubro, um alerta da comunidade já pedia actualização imediata por causa dos ataques em curso.
Sem número CVE, foi mais difícil para os administradores perceberem qual era o problema e defenderem-se. A Nextcloud justificou o atraso com a necessidade de dar tempo aos utilizadores para actualizarem e disse não ter observado exploração generalizada. A Collabora atribuiu a demora sobretudo à fila de processamento de CVE no GitHub, que diz estar sobrecarregada pelo aumento de relatórios de segurança gerados com inteligência artificial.
O caso não é isolado. Um estudo da empresa Second Security, feito com falhas reais em software de código aberto, concluiu que o intervalo mediano entre a publicação de uma correcção e a do respectivo CVE passou de 5,1 dias em Janeiro para 39 dias em Agosto. Os investigadores encontraram muitos casos em que surgiu código de ataque público poucas horas depois da correcção, vários dias antes do CVE. Notam ainda que as ferramentas de IA facilitam a criação de ataques funcionais a partir das próprias correcções publicadas.
A conclusão para quem gere servidores é simples: esperar pelo CVE para agir pode significar chegar tarde.
Em números
- 9 Setembro 2026
Correcção integrada no código
- 10 Setembro 2026
Primeiros ataques relatados por administradores
- 11 Setembro 2026
Publicada a versão 26.4.303
- 3 Outubro 2026
Alerta da comunidade pede actualização imediata
- 14 Outubro 2026
Publicados o aviso de segurança e o CVE
O que muda para as empresas
Para as empresas que usam Nextcloud com o editor de documentos embutido, o risco é concreto: um servidor exposto à internet pode ser comprometido sem palavra-passe e sem que ninguém clique em nada. Como os ataques decorrem desde Setembro, actualizar agora pode não bastar. Um servidor atacado antes da actualização pode ter ficado com uma porta das traseiras activa.
Há também uma lição mais ampla. Os avisos formais de vulnerabilidades estão a chegar cada vez mais tarde em relação às correcções, enquanto os atacantes se movem em horas. Uma política de segurança que só reage a CVE publicados deixa janelas de exposição de semanas.
O que recomendamos
Verifique primeiro se o seu Nextcloud usa a aplicação Collabora Online, Built-in CODE Server. Se usar, actualize-a de imediato para a versão 26.4.303 ou posterior, ou remova-a se não precisar dela. Desactivar não chega, segundo o próprio fabricante. Se o Collabora corre num servidor próprio, em Docker, por pacotes ou no Nextcloud All-in-One, esta falha não o afecta.
Se a aplicação esteve instalada numa versão vulnerável desde Setembro, trate o servidor como possivelmente comprometido: procure ficheiros PHP desconhecidos, reveja os registos de acesso ao proxy.php e mude as palavras-passe e chaves guardadas ou acessíveis a partir desse servidor. Daqui em diante, aplique as actualizações das aplicações do Nextcloud assim que saem, sem esperar pelo CVE. Se não tiver meios internos para fazer esta verificação, a MCIT pode ajudar na análise e na limpeza do servidor.
Falar connoscoArtigo preparado com apoio de inteligência artificial, revisto e aprovado por Marco Cerruti, MCIT.
