Explotan una vulnerabilidad RCE de Collabora para instalar puertas traseras en servidores Nextcloud

El 15 de octubre de 2026, varios administradores informaron de ataques contra servidores Nextcloud que aprovechan la vulnerabilidad crítica CVE-2026-110447 en la aplicación Collabora Online - Built-in CODE Server (richdocumentscode). La explotación habría comenzado a mediados de septiembre, antes de la publicación formal del aviso de seguridad y del identificador CVE.

El fallo afecta a versiones de richdocumentscode anteriores a la 26.4.303 y se encuentra en el mecanismo que inicia el servidor Collabora integrado. Una petición maliciosa al endpoint proxy.php permite provocar una inyección de comandos del sistema sin autenticación ni interacción del usuario. Para que el ataque tenga éxito, el servidor CODE integrado debe estar detenido, por ejemplo tras un reinicio, una actualización o un fallo.

Los informes de administradores sitúan los primeros ataques el 10 de septiembre. Los intrusos instalaron webshells PHP y las utilizaron para buscar bases de datos de contraseñas, elementos de gestores de credenciales y monederos de criptomonedas. Algunos usuarios atribuyeron también la actividad a operadores de ransomware, aunque BleepingComputer no pudo confirmarlo de forma independiente.

Collabora indicó que la vulnerabilidad solo afecta a la aplicación opcional de servidor CODE integrado. Los servidores Collabora Online independientes, las instalaciones mediante Docker o RPM/DEB y los despliegues Nextcloud All-in-One no están afectados. La recomendación es actualizar richdocumentscode a la versión 26.4.303 o posterior, o eliminar la aplicación si no se necesita; desactivarla no basta.

Collabora publicó la corrección el 9 de septiembre y lanzó la versión corregida el 11 de septiembre, mientras que el aviso y el CVE aparecieron el 14 de octubre. Nextcloud afirmó que recibió el informe a mediados de septiembre y que la actualización estuvo disponible en su tienda de aplicaciones. Ambas empresas señalaron los retrasos en el procesamiento de CVE como parte del motivo de la demora en la divulgación.

Fuente: BleepingComputer.