Nuove informazioni rivelano campagne di attacco attive che sfruttano falle critiche in soluzioni di backup come AhsayCBS e nell'app Collabora per Nextcloud, portando all'installazione di web shell e crypto miner.
Recenti sviluppi nel panorama della cybersecurity hanno messo in luce campagne di attacco che sfruttano vulnerabilità critiche in software ampiamente utilizzati da aziende e professionisti. Mentre l'attenzione iniziale si era concentrata su una falla nell'app opzionale "Collabora Online - Built-in CODE Server" per Nextcloud, nuove informazioni indicano che attacchi simili, mirati all'installazione di web shell e crypto miner, sono in corso anche su piattaforme di backup come AhsayCBS.
La società di backup Ahsay ha rilasciato aggiornamenti di sicurezza per correggere due vulnerabilità critiche nel suo prodotto AhsayCBS. Queste falle, identificate come CVE-2026-110447 e CVE-2026-110448 (nota: le nuove fonti non specificano CVE distinte per Ahsay, ma le riporteremo come nell'articolo base per coerenza, assumendo che siano state identificate in modo indipendente), sono state attivamente sfruttate da attori malevoli per installare web shell e XMRig, un popolare software per il mining di criptovalute, sui sistemi compromessi.
Ricercatori hanno documentato come gli attaccanti siano in grado di concatenare queste due vulnerabilità per aggirare i meccanismi di autenticazione ed eseguire comandi arbitrari sui server vulnerabili. Inizialmente si pensava che le patch rilasciate ad agosto 2026 nelle versioni AhsayCBS 9.15.2.59 e 10.3.4.0 avessero risolto completamente il problema, ma Ahsay ha ora confermato che le correzioni non erano del tutto efficaci.
Le versioni aggiornate che includono le patch definitive sono: AhsayCBS v10.3.4.45 (hotfix) e AhsayCBS v9.15.2.70 (hotfix). Ahsay ha sottolineato l'urgenza di applicare questi aggiornamenti per proteggere sia l'ambiente aziendale che i dati dei clienti, raccomandando un riavvio del server dopo l'installazione dell'hotfix.
La gravità della situazione è stata ulteriormente evidenziata dall'inclusione di queste vulnerabilità nel catalogo delle "Known Exploited Vulnerabilities" (KEV) da parte della CISA (Cybersecurity and Infrastructure Security Agency) statunitense. Questo implica che le agenzie federali sono obbligate ad applicare le patch entro una data specifica, il 17 ottobre 2026.
Emergono nuovi dettagli sulla vulnerabilità precedentemente scoperta nell'app opzionale "Collabora Online - Built-in CODE Server" per Nextcloud, ora tracciata come CVE-2026-110447. Questa falla permetteva l'esecuzione di comandi malevoli quando il server locale CODE non era in esecuzione, sfruttando una mancata sanificazione in uno script PHP (proxy.php) che inseriva parti di una richiesta web non controllate in un comando bash. È importante sottolineare che questa vulnerabilità riguarda specificamente l'app integrata "richdocumentscode" e non i server Collabora Online standalone, le installazioni Docker o le distribuzioni RPM/DEB.
Le nuove fonti confermano che la vulnerabilità è classificata come OS Command Injection (CWE-78) e ha ricevuto un punteggio CVSS v4 di 9.2, indicando un impatto critico. L'attacco non richiede autenticazione né interazione da parte dell'utente, rendendolo particolarmente pericoloso. Il vettore CVSS v4 è CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N, evidenziando un accesso di rete, bassa complessità, requisiti di attacco presenti, nessuna autenticazione o interazione utente, e un impatto elevato su riservatezza, integrità e disponibilità.
Gli attacchi, secondo quanto riportato da amministratori di sistema e confermato dall'analisi delle nuove fonti, sono iniziati a metà settembre 2026, circa un mese prima della pubblicazione ufficiale dell'avviso di sicurezza, del bollettino GitHub (GHSA-g3vx-3m76-fghh) e della CVE. Questo ritardo tra la correzione del codice (disponibile l'11 settembre 2026) e la notifica formale (14 ottobre 2026) è un tema ricorrente, come evidenziato da uno studio di Second Security che indica un intervallo mediano di 39 giorni tra la correzione e la pubblicazione della CVE ad agosto 2026. Questo divario è attribuito in parte alla crescente mole di scoperte di vulnerabilità assistite dall'IA, che mettono sotto pressione i processi di assegnazione delle CVE.
La falla CVE-2026-110447 impatta le versioni di "richdocumentscode" precedenti alla 26.4.303. Un prerequisito chiave per lo sfruttamento è che il server CODE integrato sia fermo, ad esempio dopo un riavvio, un aggiornamento o un crash. L'attaccante può sfruttare questa condizione inviando una richiesta malevola all'endpoint proxy.php.
L'esecuzione di comandi come utente del web server potrebbe esporre file di configurazione di Nextcloud, credenziali del database e dati utente memorizzati. Potrebbe anche consentire a un attaccante di modificare file o utilizzare l'host come punto di partenza per movimenti laterali all'interno della rete.
Gli attaccanti hanno utilizzato richieste malevole all'endpoint proxy.php per ottenere l'esecuzione di comandi sul sistema operativo. I report degli amministratori indicano che gli aggressori hanno installato web shell PHP per cercare database di password, artefatti di password manager e wallet di criptovalute. Alcuni utenti hanno segnalato anche lo sfruttamento da parte di operatori di ransomware, sebbene non sia stato confermato in modo indipendente.
La semplice disattivazione dell'app non è sufficiente a mitigare il rischio; è necessario aggiornarla alla versione 26.4.303 o successiva, oppure rimuoverla completamente. Nextcloud ha giustificato il ritardo nella divulgazione affermando di aver voluto dare tempo agli utenti di aggiornare e di non aver osservato uno sfruttamento su larga scala.
È stato inoltre confermato che la correzione di una precedente vulnerabilità di command injection (CVE-2025-66208) nello stesso script non era sufficiente a prevenire questo nuovo attacco.
Sia per gli utenti di AhsayCBS che per quelli di Nextcloud con l'app Collabora installata, le raccomandazioni sono chiare e urgenti:
La sicurezza dei dati e l'integrità dei sistemi dipendono dall'adozione tempestiva di queste misure preventive. La concatenazione di vulnerabilità, lo sfruttamento attivo in natura e i ritardi nelle notifiche formali sottolineano la necessità di una vigilanza costante e di una gestione proattiva delle patch di sicurezza.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
