Falla crítica en el editor de documentos integrado de Nextcloud permite tomar el servidor y ya se explota

Collabora publicó el 14 de octubre el aviso de una falla crítica en la app que integra su editor de documentos dentro de Nextcloud, la plataforma de archivos en la nube que muchas organizaciones instalan en sus propios servidores. La falla deja que cualquiera, sin usuario ni contraseña, ejecute comandos en el servidor. Usuarios de Nextcloud ya encontraban desde mediados de septiembre archivos plantados por atacantes.

Qué es la falla

La app afectada se llama "Collabora Online - Built-in CODE Server" (richdocumentscode). Sirve para editar documentos de oficina dentro de Nextcloud sin montar un servidor aparte. Un atacante puede enviar una petición armada a un archivo público de la app y hacer que el servidor ejecute los comandos que quiera.

En términos técnicos, es una inyección de comandos del sistema operativo (CWE-78) en proxy.php, registrada como CVE-2026-110447. No exige autenticación ni ninguna acción del usuario. Tiene una condición: solo funciona mientras el servidor de documentos integrado no está corriendo, algo que pasa después de reiniciar el contenedor, de una actualización o de una caída. Los comandos corren con el usuario del servidor web. Collabora aclara que desactivar la app no alcanza para cerrarla.

A quién afecta

Afecta a la app richdocumentscode en versiones anteriores a 26.4.303. No están afectados los servidores Collabora Online independientes (instalados con Docker, con paquetes de Linux o contratados como servicio) ni las instalaciones que usan solo el conector richdocuments sin el servidor integrado. Quien tenga Nextcloud 29 o anterior, que ya no recibe soporte, debe actualizar Nextcloud o quitar la app.

Collabora aclara que es un camino distinto al de CVE-2025-66208, y que el arreglo de aquella falla no frena esta.

Estado de explotación

Explotada, según administradores afectados. El 11 de septiembre, un usuario abrió un reporte en el repositorio de la app en GitHub con peticiones a proxy.php?status que dejaban un archivo PHP en la carpeta de la app: un acceso oculto (webshell) que recibe comandos desde un navegador. Otros administradores describieron lo mismo en los días siguientes, y el 3 de octubre un aviso en el foro de Nextcloud pidió actualizar porque la falla "ya está siendo explotada". En al menos un servidor, el atacante buscó archivos de gestores de contraseñas y de billeteras de criptomonedas. El aviso de Collabora no menciona la explotación ni cuántos servidores fueron atacados.

La versión 26.4.303 ya estaba disponible a mediados de septiembre, pero sus notas no decían que corregía una falla de seguridad. El número de CVE llegó recién el 14 de octubre.

Qué hacer

• Actualizar richdocumentscode a 26.4.303 o posterior, o quitar la app si no se usa.
• Revisar la carpeta apps/richdocumentscode/ en busca de archivos shx*.php o shrf*.php y borrarlos: actualizar no los elimina.
• Buscar en los registros del servidor web peticiones a proxy.php?status con secuencias %2e%2e, $(, ${IFS} o base64, y conexiones salientes a webhook.site.
• Revisar procesos extraños del usuario del servidor web (www-data en muchas instalaciones).
• Si hay señales de ataque, tratar como expuesto todo lo que ese usuario puede leer y cambiar las contraseñas y claves guardadas en el servidor.
• Las direcciones IP reportadas en GitHub son 139.28.18.122 y 89.38.98.50.

Ficha técnica

• CVE: CVE-2026-110447
• CVSS 4.0: 9,2 (CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)
• CWE: CWE-78, inyección de comandos del sistema operativo
• Producto: Collabora Online - Built-in CODE Server (richdocumentscode) para Nextcloud
• Versión corregida: 26.4.303
• Aviso del fabricante: GHSA-g3vx-3m76-fghh, Collabora, 14 de octubre de 2026