Los atacantes explotan una vulnerabilidad crítica de ejecución de comandos en la aplicación Collabora Online - Built-in CODE Server, conocida como richdocumentscode, dentro de la plataforma Nextcloud. La vulnerabilidad tiene asignado el identificador CVE-2026-110447, mientras que informes de administradores indican que la explotación comenzó a mediados de septiembre, aproximadamente un mes antes de la publicación de la alerta de seguridad oficial y del identificador CVE.
¿Qué está ocurriendo?
La vulnerabilidad afecta a las versiones de richdocumentscode anteriores a la 26.4.303 y se encuentra en el mecanismo de ejecución del servidor Collabora integrado en la aplicación Nextcloud. Un atacante puede enviar una solicitud especialmente diseñada al endpoint proxy.php, lo que provoca la inyección y ejecución de comandos del sistema operativo.
La explotación no requiere autenticación ni interacción del usuario, pero existe una condición importante: el servidor CODE integrado debe estar detenido, algo que puede ocurrir después de reiniciar o actualizar el servidor, o tras sufrir un fallo. Los administradores informaron de que la actividad maliciosa afectaba a múltiples endpoints desde el 10 de septiembre.
Alcance de la afectación y medidas de mitigación
El impacto se limita a la aplicación CODE Server integrada y opcional. Según Collabora, no se ven afectados los servidores independientes de Collabora Online, las instalaciones mediante Docker y RPM/DEB, ni las distribuciones de Nextcloud All-in-One.
Según los testimonios de los administradores, los atacantes instalaron puertas traseras escritas en PHP y las utilizaron para buscar bases de datos de contraseñas, archivos relacionados con gestores de contraseñas y carteras de criptomonedas. Algunos usuarios afirmaron que los operadores de ransomware también explotan la vulnerabilidad, pero BleepingComputer no pudo confirmarlo de forma independiente.
Se recomienda actualizar a la versión 26.4.303 o posterior, o eliminar la aplicación si no es necesaria. El proveedor advierte de que desactivar la aplicación por sí solo no constituye una mitigación suficiente. Una entidad comunitaria también publicó una advertencia el 3 de octubre, instando a actualizar de inmediato debido a la continuidad de la explotación.
¿Por qué es importante esta noticia?
El riesgo práctico reside en el intervalo entre la disponibilidad de la corrección y la divulgación oficial. La corrección se incorporó al repositorio el 9 de septiembre, la versión corregida se publicó el 11 de septiembre, mientras que la alerta y el identificador CVE se publicaron el 14 de octubre, con una diferencia superior a cuatro semanas. Durante ese periodo, a los administradores les resultaba más difícil identificar el problema y relacionarlo con una actividad de ataque en curso.
Nextcloud afirmó que Collabora le informó de la vulnerabilidad a mediados de septiembre y que la actualización ya estaba disponible a través de la tienda de aplicaciones, justificando el retraso de la divulgación por la necesidad de conceder a los usuarios tiempo para actualizar y por la ausencia de indicios de una explotación generalizada. Collabora atribuyó principalmente el retraso a la acumulación de solicitudes de procesamiento de CVE en GitHub, en un contexto de aumento de los informes de vulnerabilidades respaldados por herramientas de inteligencia artificial.
Un estudio citado por la fuente y elaborado por la empresa de ciberseguridad Second Security indica que el intervalo mediano entre las correcciones públicas y la publicación de identificadores CVE alcanzó los 39 días en agosto, frente a los 5,1 días de enero. El estudio también constató que pueden aparecer códigos de explotación públicos pocas horas después de la publicación de una corrección y días antes de la publicación del CVE, lo que aumenta la importancia de supervisar las actualizaciones de los propios productos y no esperar únicamente a que se asigne un número CVE para tomar medidas defensivas.