Una falla de Collabora Online en Nextcloud, con explotación activa y plazo federal hasta el 26 de octubre
La CISA ha incluido en su catálogo KEV la vulnerabilidad CVE-2026-110447, que afecta a Collabora Online y ya se utiliza contra servidores Nextcloud. Permite ejecutar comandos del sistema operativo sin autenticación, y las agencias federales estadounidenses tienen hasta el lunes 26 de octubre para aplicar el parche.
Cómo funciona el fallo
El defecto está en proxy.php, el script que conecta Nextcloud con el servidor Collabora Online, conocido como CODE Server. Hasta la versión 26.4.302, ese archivo introducía datos de la petición en un comando Bash sin sanearlos, de modo que cualquiera con acceso a la URL podía ejecutar órdenes con los privilegios del usuario del servidor web. La puntuación CVSS es de 9,2.
La explotación solo es posible cuando el servidor CODE local está detenido, por ejemplo durante un reinicio, una actualización o una caída. En esa ventana, el script se ejecuta directamente a través del servidor web sin cargar el código de Nextcloud. Los servidores Collabora independientes no están afectados.
Lo que muestran los casos conocidos
Según el registro del CVE, la explotación quedó confirmada en entornos de producción durante septiembre y octubre. Tres administradores la reportaron en GitHub. En uno de los casos, la misma dirección IP atacó los días 10 y 11 de septiembre contra proxy.php en la versión 26.4.302. Los atacantes dejaron una web shell en PHP y revisaron almacenes de credenciales y monederos de criptomonedas.
En los otros dos casos no se encontró evidencia de acceso root. Tras actualizar a la 26.4.303, uno de ellos registró un nuevo intento el 14 de septiembre, sin que apareciera ninguna shell. El mantenedor del proyecto pide, además de aplicar el parche, eliminar los archivos residuales shx*.php, porque una web shell olvidada sigue permitiendo el acceso aunque la vulnerabilidad esté corregida.
Qué deben hacer los administradores
- Actualizar Collabora Online y Nextcloud a las versiones corregidas.
- Revisar los registros de proxy.php en busca de accesos anómalos desde septiembre.
- Buscar y borrar web shells y archivos residuales con el patrón shx*.php.
- Dar por comprometido todo lo accesible con la cuenta del servidor web, incluidas credenciales, si hay indicios de explotación.
Límites de la información disponible
No hay atribución pública del ataque, y el número total de servidores comprometidos no se conoce. Los indicios apuntan a un actor oportunista más que a un grupo con patrocinio estatal, aunque esa lectura no está confirmada técnicamente. Las organizaciones fuera del ámbito federal estadounidense no tienen el mismo plazo legal, pero el catálogo KEV funciona como referencia de vulnerabilidades ya explotadas en producción.
