A CISA, agência de segurança dos Estados Unidos, incluiu em 23 de outubro de 2026 no seu catálogo de vulnerabilidades exploradas uma falha no editor de documentos que muitas empresas usam junto com o Nextcloud. A CVE-2026-110447 está no "Collabora Online, Built-in CODE Server", o app que permite editar planilhas e textos dentro do Nextcloud sem instalar um servidor separado. Uma requisição, sem login, basta para executar comandos no servidor.
Se a sua empresa usa o Nextcloud como alternativa ao Google Drive ou ao OneDrive, instalado num servidor próprio ou numa nuvem contratada, este é o alerta para conferir hoje.
O que é a falha
Segundo o aviso do Collabora (GHSA-g3vx-3m76-fghh, publicado em 14 de outubro), a falha tem gravidade crítica, nota 9,2 na escala CVSS v4, e afeta o app richdocumentscode antes da versão 26.4.303. Uma única requisição sem autenticação ao arquivo proxy.php é suficiente para o ataque. A descrição da CISA detalha que, dentro do Nextcloud, o componente permite execução remota de código enquanto o servidor CODE não está rodando.
O servidor Collabora Online instalado à parte (standalone) não é afetado. O problema está na versão embutida, a mais prática de instalar e, por isso, comum em empresas pequenas.
Já está sendo explorada
Sim, e esse é o critério para entrar no catálogo da CISA. Segundo o site especializado THN, os primeiros ataques foram registrados em 10 de setembro, e a correção saiu no dia 11. Os atacantes plantaram web shells, arquivos PHP que dão controle remoto do servidor, na pasta apps/richdocumentscode/. Em um dos servidores invadidos, procuraram arquivos de gerenciador de senhas e de carteiras de criptomoedas.
Na comunidade do Nextcloud há alerta para atualizar "ASAP" desde 3 de outubro, e um administrador relatou ter encontrado um arquivo suspeito chamado Nx_33143.php.
A CISA deu às agências federais americanas prazo até 26 de outubro para corrigir. Sobre uso por ransomware, a agência marca como desconhecido. Não há número de servidores atacados nem menção a vítimas no Brasil.
Desativar não basta
O aviso do Collabora diz que desativar o app não resolve: é preciso atualizar ou remover. A versão corrigida, 26.4.303, exige Nextcloud 30 ou superior. Quem está no Nextcloud 29 ou anterior precisa atualizar o Nextcloud primeiro ou remover o app.
Há uma ressalva prática: segundo o THN, houve relatos de problemas com a versão 26.4.402, e alguns administradores voltaram para a 26.4.303.
O que fazer agora
- Descubra se a empresa usa Nextcloud próprio e se o app "Collabora Online, Built-in CODE Server" (richdocumentscode) está instalado.
- Atualize o app para 26.4.303 ou superior, ou remova. Só desativar não fecha a porta.
- Procure arquivos estranhos em apps/richdocumentscode/, como shx*.php ou outros arquivos .php que não fazem parte do app.
- Revise os registros desde 10 de setembro. Procure requisições a proxy.php?status com trechos como $(, ${IFS} ou base64.
- Troque as credenciais que o usuário do servidor web conseguia ler: banco de dados, chaves de API, senhas guardadas em arquivos de configuração.
- Se encontrar sinal de invasão, trate como incidente. Isole o servidor, guarde os registros e avalie com apoio jurídico se há dado pessoal envolvido que exija comunicação à ANPD.
Por que isso pesa para a pequena empresa
Muita empresa escolheu o Nextcloud justamente para ter os arquivos sob controle, fora das grandes nuvens. Isso funciona, desde que alguém cuide das atualizações. Um servidor de arquivos invadido entrega contratos, planilhas financeiras e documentos de clientes. E a distância entre a correção, em 11 de setembro, e o alerta da CISA, em 23 de outubro, mostra que muita instalação ficou mais de um mês com a porta aberta.
O app embutido é o caminho mais rápido para ter edição de documentos no Nextcloud, e por isso aparece em instalações feitas uma vez e nunca mais revisadas. É esse servidor esquecido que um ataque automatizado encontra primeiro.
Onde a Oneck entra
A frente de Software & Sistemas da Oneck Creative desenvolve e mantém sistemas e servidores com rotina de atualização, cópia de segurança e revisão de acesso. Se a sua empresa usa Nextcloud e você não sabe em que versão ele está, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Fontes: CISA: catálogo de vulnerabilidades exploradas; Collabora: aviso GHSA-g3vx-3m76-fghh; THN: servidores Nextcloud recebem backdoor; Comunidade Nextcloud: alerta para usuários do Collabora Built-in.
