Nextcloud
Falha no editor de documentos do Nextcloud foi usada para atacar servidores um mês antes do aviso oficial
Quem tem uma nuvem própria com Nextcloud e usa a app que edita documentos no navegador deve confirmar a versão hoje. A falha permitia correr comandos no servidor sem palavra-passe, foi corrigida a 11 de setembro e só teve aviso formal a 14 de outubro. Pelo meio, houve servidores com portas traseiras instaladas.
Uma vulnerabilidade crítica na app que permite editar documentos de escritório dentro do Nextcloud está a ser explorada desde meados de setembro, segundo relatos de administradores citados pelo BleepingComputer. A falha, registada como CVE-2026-110447, está na app Collabora Online - Built-in CODE Server, uma forma simplificada de instalar o editor sem montar um servidor à parte. O Nextcloud é uma plataforma de código aberto usada por quem quer ter a sua própria nuvem de ficheiros, em casa ou numa organização, em vez de depender de serviços como o Google Drive ou o OneDrive.
Como funciona o ataque
De acordo com o aviso publicado pela Collabora no GitHub a 14 de outubro, um pedido enviado a um ficheiro da app pode levar o servidor a executar comandos do sistema operativo com as permissões do servidor web. Não é preciso palavra-passe nem qualquer ação do utilizador. Há uma condição: o ataque só resulta enquanto o servidor CODE integrado não está a correr, o que acontece, por exemplo, depois de um reinício, durante uma atualização ou após uma falha. A gravidade foi classificada em 9,2 numa escala de 10.
Os administradores afetados contam que os atacantes deixaram nos servidores pequenos programas em PHP que funcionam como porta traseira e os usaram para procurar bases de dados de palavras-passe, ficheiros de gestores de palavras-passe e carteiras de criptomoedas. Houve também relatos de ataques com ransomware, que o BleepingComputer diz não ter conseguido confirmar.
Correção chegou cedo, o aviso nem por isso
A correção foi feita a 9 de setembro e a versão 26.4.303 saiu dois dias depois. A 3 de outubro, um utilizador alertou no fórum da comunidade Nextcloud que já havia servidores com portas traseiras instaladas e que não existia ainda um aviso formal. O identificador CVE só foi publicado a 14 de outubro, mais de quatro semanas depois da correção, o que dificultou aos administradores perceber o risco.
A Collabora atribui o atraso sobretudo à fila de processamento de vulnerabilidades do GitHub, que diz estar sobrecarregada com o volume de relatórios de segurança gerados com IA. A empresa afirma que este ano já tratou o equivalente a cerca de dez anos de relatórios e que vai pedir para registar os seus próprios CVE. O Nextcloud disse ao BleepingComputer que deu tempo aos utilizadores para atualizar e que não observou uma exploração generalizada.
O que deves fazer
Se tens um servidor Nextcloud, verifica se a app Collabora Online - Built-in CODE Server está instalada e em que versão. Segundo a Collabora, desativá-la não basta: tem de ser atualizada para a versão 26.4.303 ou superior, ou removida. Quem ainda usa o Nextcloud 29 ou anterior, já sem suporte, deve atualizar o Nextcloud ou retirar a app. A empresa diz que esta opção é pensada para utilizadores domésticos e que é usada por uma minoria.
Não estão afetados os servidores Collabora Online independentes, as instalações em Docker ou por pacotes RPM e DEB nem o Nextcloud All-in-One. Se o teu servidor esteve com uma versão vulnerável e o CODE parou em algum momento desde 10 de setembro, a atualização fecha a porta mas não apaga o que um atacante possa lá ter deixado: convém procurar ficheiros PHP que não reconheças.
