CISA confirma explotación de una vulnerabilidad crítica en Nextcloud; desactivar la aplicación peligrosa no basta

Una extensión desactivada de Nextcloud aún puede dejar pasar comandos de atacantes. El 23 de octubre la agencia CISA incluyó la vulnerabilidad CVE-2026-110447 en el catálogo de vulnerabilidades realmente explotadas. El problema afecta a Collabora Online – Built-in CODE Server, el componente para editar documentos de oficina en la nube de Nextcloud. La vulnerabilidad recibió una valoración crítica de 9,2 puntos según la escala CVSS 4.0.

El error se detectó en la aplicación richdocumentscode en versiones anteriores a 26.4.303. A través del archivo proxy.php, una petición externa puede inyectar un comando del sistema operativo que el servidor ejecuta con los permisos de la cuenta del servidor web. Para el ataque no se requiere contraseña, autenticación ni interacción del usuario, pero sí se necesita un estado concreto del servicio de Collabora.

El código vulnerable solo se activa cuando el CODE Server incorporado no está en ejecución, por ejemplo, justo después de reiniciar el contenedor, una actualización o un fallo. Ese momento limitado no convierte la brecha en segura. Al intentar iniciar el servidor detenido, la aplicación transmite datos de la petición insuficientemente validados a un comando del sistema, creando la posibilidad de un ataque.

Los administradores informaron sobre intrusiones reales ya el 11 de septiembre, publicando registros de peticiones que comenzaron el 10 de septiembre. Los atacantes consultaban proxy.php, ocultaban caracteres peligrosos y ejecutaban comandos codificados. En varios servidores se encontraron archivos PHP maliciosos que permitían controlar el sistema mediante peticiones HTTP.

En uno de los servidores afectados, el atacante usó ese archivo para buscar almacenes de contraseñas y monederos de criptomonedas. En las peticiones aparecían archivos de KeePass, datos de Bitwarden y 1Password, así como directorios de Bitcoin y Ethereum. En los registros analizados no se encontraron órdenes claras de exfiltración de información, por lo que no se ha confirmado el robo de datos. Las observaciones están limitadas a los registros disponibles.

Los desarrolladores confirmaron que deshabilitar simplemente richdocumentscode no cierra el acceso al vulnerable proxy.php. Para corregir el error hay que instalar la versión 26.4.303 o eliminar completamente la aplicación. La actualización tampoco elimina los web shells ya creados. A los administradores de sistemas infectados se les recomendó buscar archivos PHP residuales cuyos nombres empiecen por shx.

El problema afecta al CODE Server incorporado que Nextcloud ejecuta localmente. Los servidores autónomos de Collabora Online, las instalaciones mediante Docker y los servicios externos de edición de documentos no son vulnerables a este fallo, siempre que la extensión vulnerable no esté instalada. Para las versiones antiguas de Nextcloud 29 y anteriores, los desarrolladores recomiendan actualizar la plataforma o eliminar la extensión peligrosa.

La compilación corregida 26.4.303 estuvo disponible ya en septiembre, y el identificador CVE se publicó solo el 14 de octubre. Tras incluir el problema en el catálogo, CISA fijó para las agencias federales afectadas de Estados Unidos el plazo de mitigación hasta el 26 de octubre. Además de actualizar, la agencia exige tener en cuenta las recomendaciones del desarrollador y revisar la infraestructura en busca de señales de intrusión.