Actores de amenazas están aprovechando una vulnerabilidad crítica de ejecución de comandos, ahora identificada como CVE-2026-110447, en la aplicación Collabora Online – Built-in CODE Server (richdocumentscode) para Nextcloud. Los informes de múltiples administradores indican que los ataques comenzaron a mediados de septiembre, aproximadamente un mes antes de la publicación del boletín de seguridad formal y la publicación de la CVE.
La CVE-2026-110447 afecta a las versiones de richdocumentscode anteriores a 26.4.303 y reside en el mecanismo de la aplicación Nextcloud para iniciar el servidor Collabora integrado. La vulnerabilidad solo afecta a la aplicación del servidor CODE integrada; los servidores Collabora Online independientes y las instalaciones Docker y RPM/DEB no se ven afectados, según Collabora.
Los ataques implican el envío de una solicitud maliciosa al endpoint proxy.php de la aplicación, lo que provoca una inyección de comandos del sistema operativo. Un requisito clave para la explotación exitosa es que el servidor CODE integrado debe estar detenido. Los administradores de sistemas afectados han informado de ataques contra múltiples endpoints desde el 10 de septiembre, donde los atacantes han plantado webshells PHP y han buscado bases de datos de contraseñas y billeteras de criptomonedas.
Qué significa para su organización
Las organizaciones que utilizan Nextcloud con la aplicación Collabora Online integrada deben revisar urgentemente sus sistemas para verificar si están utilizando versiones anteriores a 26.4.303 y proceder a actualizar a la versión más reciente. Es crucial que los administradores de sistemas evalúen si el servidor CODE es necesario y, en caso contrario, consideren su eliminación, ya que deshabilitar la aplicación no es suficiente para mitigar el riesgo.
Además, se recomienda conservar registros de acceso y actividad del sistema desde el 10 de septiembre para investigar posibles compromisos y facilitar la respuesta ante incidentes. La falta de un ID de CVE en las primeras etapas dificultó la identificación y defensa contra esta vulnerabilidad, por lo que es recomendable establecer un protocolo de notificación y respuesta ante incidentes que contemple la revisión de vulnerabilidades y la implementación de parches de seguridad de manera proactiva.
