Atacantes están explotando, sin necesidad de autenticarse, un fallo de inyección de comandos (CVE-2026-110447) en la app «Collabora Online - Built-in CODE Server» de Nextcloud para plantar webshells PHP. Te afecta si alojas tu propio Nextcloud con esa app. Actualízala hoy a 26.4.303 o elimínala, y busca indicios de intrusión desde el 10 de septiembre.
Lo esencial
- El CVE-2026-110447 afecta a todas las versiones de la app richdocumentscode anteriores a la 26.4.303, según BleepingComputer. Una petición maliciosa al endpoint proxy.php provoca una inyección de comandos del sistema operativo, sin autenticación ni interacción del usuario.
- Solo es explotable mientras el servidor CODE integrado está parado: tras un reinicio, una actualización o una caída.
- Cronología: primer ataque registrado el 10 de septiembre; versión corregida 26.4.303 el 11 de septiembre; aviso y CVE el 14 de octubre; publicación en BleepingComputer el 15.
- En los casos reportados, los atacantes plantaron webshells PHP y buscaron bases de datos de contraseñas, artefactos de gestores de contraseñas y carteras de criptomonedas. Ningún informe muestra acceso root.
- Se desconoce cuántos servidores están comprometidos. Algunos usuarios hablan de operadores de ransomware, pero BleepingComputer no pudo confirmarlo.
¿Me afecta si uso Nextcloud?
Solo si alojas tu propio Nextcloud y tienes instalada la app «Collabora Online - Built-in CODE Server» (richdocumentscode). Es la que permite editar documentos sin montar un servidor Collabora aparte.
Según The Hacker News, no están afectados:
- Los servidores Collabora independientes.
- Las instalaciones Docker o RPM/DEB.
- Nextcloud All-in-One.
- Las instalaciones que solo usan Nextcloud Office (richdocuments) sin la app integrada.
Cuidado con Nextcloud 29 o anterior, ya fuera de soporte. Las versiones corregidas requieren Nextcloud 30 o posterior, y la tienda de apps sigue sirviendo una versión vulnerable a las instalaciones antiguas. Ahí solo te queda actualizar Nextcloud o quitar la app.
Si tu Nextcloud lo aloja un proveedor, no puedes comprobarlo tú. Tienes que preguntárselo.
¿Por qué no basta con desactivarla o actualizarla?
Desactivar la app no sirve. Collabora lo advierte: hay que actualizarla a 26.4.303 o superior, o eliminarla.
Actualizar cierra la puerta, pero no echa a quien ya entró. Los ataques empezaron el 10 de septiembre y el aviso formal no llegó hasta el 14 de octubre. Quien esperaba un aviso para actualizar ha pasado más de un mes expuesto. Y el comando inyectado se ejecuta con los permisos del usuario del servidor web: todo lo que ese usuario pueda leer está potencialmente expuesto.
Una nota sobre versiones: la 26.4.402, del 24 de septiembre, falla en algunas instalaciones. Varios administradores han vuelto a la 26.4.303, que es la que el aviso señala como corrección.
Qué hacer hoy
- Entra en Apps de tu Nextcloud y comprueba si está instalada «Collabora Online - Built-in CODE Server».
- Si está y la necesitas, actualízala a 26.4.303 o superior. Si no la necesitas, elimínala. No te limites a desactivarla.
- Si tienes Nextcloud 29 o anterior, actualiza Nextcloud o quita la app.
- Busca archivos shx*.php dentro de apps/richdocumentscode y bórralos.
- Revisa los logs de acceso desde al menos el 10 de septiembre. Busca peticiones a proxy.php?status con %2e%2e, $( o ${IFS} en la ruta.
- Si encuentras indicios, da por expuesto lo que el usuario del servidor web pueda leer (gestores de contraseñas, archivos .kdbx, claves, credenciales) y rótalo.
- Si un proveedor gestiona tu Nextcloud, pídele por escrito que confirme si usa esta app y si ha revisado indicios de compromiso.
Qué significa para una pyme
La lección no es que Nextcloud sea inseguro. Es que la app afectada se describe en su propia ficha como «para pruebas locales y uso no productivo», y aun así está en servidores de producción porque es cómoda: un clic y tienes edición de documentos. Si la usas para trabajar de verdad, el paso sensato es migrar a un servidor Collabora independiente, que además no está afectado.
Segundo, el desfase de un mes entre parche y aviso deja una conclusión incómoda: si solo actualizas cuando sale un CVE, llegas tarde. Las apps de Nextcloud necesitan una rutina de actualización periódica, no reactiva.
Tercero, no te quedes tranquilo porque no haya acceso root. Una webshell con los permisos del servidor web puede leer los archivos que guardas en Nextcloud, y los atacantes iban precisamente a por contraseñas y gestores de contraseñas. Si estás bajo NIS2 o el RGPD, un compromiso confirmado puede obligarte a notificar el incidente. Si no tienes a nadie que sepa revisar esos logs, busca ayuda externa en ciberseguridad antes de dar el asunto por cerrado.
Preguntas frecuentes
¿Basta con desactivar la app?
No. Collabora indica que hay que actualizarla a 26.4.303 o superior, o eliminarla.
Si actualicé en septiembre, ¿estoy a salvo?
No necesariamente. El primer ataque registrado es del 10 de septiembre, un día antes del parche. Busca archivos shx*.php y revisa los logs desde esa fecha.
¿Se está usando para ransomware?
No está confirmado. Algunos usuarios lo afirman, pero BleepingComputer no pudo verificarlo.
