# Falha no editor de documentos do Nextcloud foi usada para atacar servidores um mês antes do aviso oficial

> Quem tem uma nuvem própria com Nextcloud e usa a app que edita documentos no navegador deve confirmar a versão hoje. A falha permitia correr comandos no servidor sem palavra-passe, foi corrigida a 11 de setembro e só teve aviso formal a 14 de outubro. Pelo meio, houve servidores com portas traseiras instaladas.

- Publicação: MEGAzine (https://megazine.pt/)
- Endereço: https://megazine.pt/seguranca/falha-no-editor-de-documentos-do-nextcloud-foi-usada-para-atacar-servidores-um
- Categoria: Segurança
- Autoria: Redação
- Publicado: 16 de outubro de 2026
- Etiquetas: Nextcloud, Collabora, Vulnerabilidades, Servidores, Nuvem

## Em resumo

- A falha CVE-2026-110447 afeta a app Collabora Online - Built-in CODE Server do Nextcloud em versões anteriores à 26.4.303.
- Permite a um atacante correr comandos no servidor sem autenticação, mas só enquanto o servidor CODE integrado está parado.
- Administradores relatam ataques desde 10 de setembro, com ficheiros PHP maliciosos usados para procurar palavras-passe e carteiras de criptomoedas.
- A Collabora diz que desativar a app não chega: é preciso atualizá-la para a versão 26.4.303 ou removê-la.
- Instalações do Collabora em Docker, pacotes RPM ou DEB e o Nextcloud All-in-One não são afetadas.

Uma vulnerabilidade crítica na app que permite editar documentos de escritório dentro do Nextcloud está a ser explorada desde meados de setembro, segundo relatos de administradores citados pelo BleepingComputer. A falha, registada como CVE-2026-110447, está na app Collabora Online - Built-in CODE Server, uma forma simplificada de instalar o editor sem montar um servidor à parte. O Nextcloud é uma plataforma de código aberto usada por quem quer ter a sua própria nuvem de ficheiros, em casa ou numa organização, em vez de depender de serviços como o Google Drive ou o OneDrive.

## Como funciona o ataque

De acordo com o aviso publicado pela Collabora no GitHub a 14 de outubro, um pedido enviado a um ficheiro da app pode levar o servidor a executar comandos do sistema operativo com as permissões do servidor web. Não é preciso palavra-passe nem qualquer ação do utilizador. Há uma condição: o ataque só resulta enquanto o servidor CODE integrado não está a correr, o que acontece, por exemplo, depois de um reinício, durante uma atualização ou após uma falha. A gravidade foi classificada em 9,2 numa escala de 10.

Os administradores afetados contam que os atacantes deixaram nos servidores pequenos programas em PHP que funcionam como porta traseira e os usaram para procurar bases de dados de palavras-passe, ficheiros de gestores de palavras-passe e carteiras de criptomoedas. Houve também relatos de ataques com ransomware, que o BleepingComputer diz não ter conseguido confirmar.

## Correção chegou cedo, o aviso nem por isso

A correção foi feita a 9 de setembro e a versão 26.4.303 saiu dois dias depois. A 3 de outubro, um utilizador alertou no fórum da comunidade Nextcloud que já havia servidores com portas traseiras instaladas e que não existia ainda um aviso formal. O identificador CVE só foi publicado a 14 de outubro, mais de quatro semanas depois da correção, o que dificultou aos administradores perceber o risco.

A Collabora atribui o atraso sobretudo à fila de processamento de vulnerabilidades do GitHub, que diz estar sobrecarregada com o volume de relatórios de segurança gerados com IA. A empresa afirma que este ano já tratou o equivalente a cerca de dez anos de relatórios e que vai pedir para registar os seus próprios CVE. O Nextcloud disse ao BleepingComputer que deu tempo aos utilizadores para atualizar e que não observou uma exploração generalizada.

## O que deves fazer

Se tens um servidor Nextcloud, verifica se a app Collabora Online - Built-in CODE Server está instalada e em que versão. Segundo a Collabora, desativá-la não basta: tem de ser atualizada para a versão 26.4.303 ou superior, ou removida. Quem ainda usa o Nextcloud 29 ou anterior, já sem suporte, deve atualizar o Nextcloud ou retirar a app. A empresa diz que esta opção é pensada para utilizadores domésticos e que é usada por uma minoria.

Não estão afetados os servidores Collabora Online independentes, as instalações em Docker ou por pacotes RPM e DEB nem o Nextcloud All-in-One. Se o teu servidor esteve com uma versão vulnerável e o CODE parou em algum momento desde 10 de setembro, a atualização fecha a porta mas não apaga o que um atacante possa lá ter deixado: convém procurar ficheiros PHP que não reconheças.