A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) incluiu, em 23 de outubro de 2026, a falha identificada como CVE-2026-110447 em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV, na sigla em inglês). A inclusão no catálogo é a confirmação oficial de que a brecha já está sendo explorada ativamente por invasores, não apenas um risco teórico.
A vulnerabilidade, com pontuação CVSS de 9,2 (considerada crítica/alta), é uma falha de injeção de comandos no sistema operacional (OS command injection) que afeta o CODE Server, o componente de edição de documentos do Collabora Online integrado por padrão ao Nextcloud — a plataforma de armazenamento e compartilhamento de arquivos autogerenciada usada por empresas e órgãos públicos como alternativa a serviços de nuvem como Google Drive e Dropbox. Segundo o registro da falha, um usuário autenticado com privilégios baixos na instância do Nextcloud pode, ao interagir com o editor de documentos integrado, executar comandos arbitrários no servidor que hospeda a aplicação.
Pesquisadores de segurança identificaram que a falha vem sendo usada em ataques reais para instalar backdoors (uma espécie de porta dos fundos permanente) em servidores Nextcloud comprometidos, dando ao invasor acesso persistente ao sistema mesmo depois de a falha original ser corrigida, caso o backdoor não seja removido manualmente.
Por que isso importa para uma PME brasileira
Nextcloud é uma opção comum para pequenas e médias empresas que querem manter o controle total sobre onde seus arquivos ficam armazenados — por exigência de clientes, por economia em relação a assinaturas de nuvem, ou para atender a cláusulas contratuais de proteção de dados. O Collabora Online é frequentemente ativado nessas instalações justamente para permitir a edição colaborativa de documentos do Office diretamente no navegador, sem precisar baixar o arquivo.
Se o servidor que hospeda esses arquivos for comprometido, o invasor passa a ter acesso a tudo que está armazenado ali: contratos, planilhas financeiras, dados de clientes e fornecedores, e potencialmente dados pessoais sob a guarda da empresa — o que pode configurar um incidente de segurança sujeito às regras da LGPD e ao dever de comunicação à ANPD. Como o acesso inicial exige apenas uma conta autenticada de baixo privilégio, mesmo um funcionário comum ou um ex-colaborador com credenciais ainda ativas pode ser o ponto de entrada.
O que fazer agora
Empresas que mantêm sua própria instalação do Nextcloud com o Collabora Online/CODE Server integrado devem verificar imediatamente, no painel de administração, qual versão do aplicativo Collabora está em uso e aplicar a atualização de segurança mais recente disponível na loja de aplicativos do Nextcloud. Quem usa um provedor terceirizado de hospedagem Nextcloud deve confirmar com o fornecedor, por escrito, que o patch já foi aplicado.
Também vale revisar os registros de acesso em busca de atividade suspeita de contas de baixo privilégio e verificar se há arquivos ou processos estranhos no diretório de dados da aplicação, sinal possível de um backdoor já instalado. Nesse caso, a simples atualização do software não é suficiente: é preciso investigar e remover o backdoor manualmente, com apoio de um especialista em segurança, antes de considerar o incidente encerrado.
Fonte oficial: catálogo de Vulnerabilidades Conhecidas e Exploradas da CISA — cisa.gov/known-exploited-vulnerabilities-catalog (CVE-2026-110447).
