Collabora para Nextcloud sufre ataques: desactivar la app no basta para protegerse

Cómo saber si tu instalación está afectada

Nextcloud permite guardar y compartir archivos en un servidor propio. Para editar documentos en el navegador puede utilizar Collabora Online, y una de sus opciones es instalar Collabora Online – Built-in CODE Server, identificada como richdocumentscode.

El fallo CVE-2026-110447 está en esa aplicación, en las versiones anteriores a 26.4.303. Entra en la página de aplicaciones con una cuenta administradora y revisa también las desactivadas. Si solo eres usuario de un servicio de Nextcloud, esta comprobación corresponde a quien lo administra.

El aviso de Collabora sitúa el problema en proxy.php: una petición manipulada puede ejecutar comandos con los permisos del usuario del servidor web. El ataque funciona mientras el servidor CODE integrado está detenido, por ejemplo tras reiniciar, durante una actualización o después de un cierre inesperado. No exige autenticación ni interacción de otra persona, y no es el mismo fallo que el CVE-2025-66208: su parche no protege de este.

Actualizar la aplicación, no solo Nextcloud

La corrección existe desde el 11 de septiembre de 2026. El fallo entró en el catálogo KEV de CISA, el 23 de octubre de 2026: es la lista de fallos que ya se usan en ataques reales. Las agencias federales de EE. UU. tienen hasta el 26 de octubre de 2026 para corregirlo.

Para cerrarlo:

1. Comprueba el nombre y la versión en Aplicaciones. Desde la carpeta de Nextcloud, php occ app:list muestra las aplicaciones instaladas; ejecútalo con el usuario del servidor web, según tu instalación.
2. Actualiza Built-in CODE Server desde esa página o con php occ app:update richdocumentscode. Comprueba después que ha quedado en 26.4.303 o una posterior. La tienda ya ofrece 26.4.502 para Nextcloud 30 a 35.
3. Si no la necesitas o no puedes actualizarla, elimínala con php occ app:remove richdocumentscode. Pulsar Desactivar deja abierta esta vulnerabilidad.

En Nextcloud 25 a 29, la tienda ofrece la rama 26.4.104, anterior al arreglo; en Nextcloud 19 a 24, la 23.5.5, también sin corregir. En esas versiones no hay arreglo: hay que actualizar Nextcloud a la 30 o posterior, o quitar la aplicación. Volver a una versión vulnerable reabre la vía de entrada.

Si estuvo expuesto, busca puertas traseras

Los primeros administradores que denunciaron ataques aportaron registros del 10 de septiembre de 2026 y archivos PHP añadidos al directorio de la aplicación. Esos archivos actuaban como webshells: puertas traseras que permiten enviar comandos a través de la web. Se observaron nombres como shx13a86.php y shrf4645.php.

El CSIRT italiano investigó otro incidente con tres puertas traseras y extracción de un archivo de configuración con credenciales de base de datos, correo y secretos de aplicaciones. En ese caso no encontró evidencias de acceso a los documentos de los usuarios.

Además de instalar el parche, revisa la integridad de Nextcloud y sus aplicaciones. El comando php occ integrity:check-app richdocumentscode compara sus archivos con la firma de la aplicación y, si todo cuadra, no muestra nada; contrasta los resultados con los registros del servidor web y del proxy, buscando peticiones anómalas a proxy.php y actividad posterior.

Si aparecen indicios de intrusión, el CSIRT recomienda aislar el sistema y conservar las evidencias antes de limpiarlo. Después toca cambiar desde un entorno fiable las credenciales y claves que hayan podido quedar expuestas, revisar su uso y valorar una reconstrucción desde fuentes confiables.