1. Avisos de Seguridad
  2. Aviso de Seguridad - CVE-2026-110447 (Collabora Online – Built-in CODE Server / Nextcloud)
Fecha de publicación: Mié, 14/10/2026 - 16:19

Aviso de seguridad

Nivel de peligrosidad: Crítico

Descripción

La vulnerabilidad CVE-2026-110447 corresponde a una inyección de comandos del sistema operativo (OS Command Injection), clasificada como CWE-78, que afecta al archivo proxy.php de la aplicación richdocumentscode. Cuenta con una puntuación de 9,2 en CVSS v4.0, lo que la sitúa en la categoría Crítica.

La vulnerabilidad se origina en el mecanismo utilizado por la aplicación para iniciar el servidor CODE mediante una llamada a la función exec de PHP. Cuando dicho servidor no se encuentra en ejecución, por ejemplo, después de un reinicio, un atacante podría enviar una solicitud HTTP especialmente manipulada a proxy.php para inyectar y ejecutar comandos del sistema operativo. Estos comandos se ejecutarían con los privilegios de la cuenta de usuario bajo la cual opera el servidor web.

Si bien la corrección de seguridad está disponible desde el 11 de septiembre de 2026, la asignación y publicación del identificador CVE se produjo el 14 de octubre de 2026. Esta diferencia de fechas podría explicar por qué algunos escáneres de vulnerabilidades aún no identifican el problema, especialmente si sus bases de datos no han sido actualizadas para incorporar esta vulnerabilidad.

Recursos afectados

  • Collabora Online Built-in CODE Server (richdocumentscode) para Nextcloud, versiones anteriores a 26.4.303.
  • No se ven afectados los servidores Collabora Online independientes, los servicios Collabora alojados por terceros ni las instancias que solo usan el conector richdocuments (Nextcloud Office).

Solución

  • Actualizar richdocumentscode a la versión 26.4.303 o superior desde la App Store de Nextcloud.
  • Deshabilitar y desinstalar la aplicación si no se utiliza (occ app:disable richdocumentscode).
  • Reiniciar o terminar los procesos de Collabora/CODE que sigan en ejecución después de actualizar.
  • Bloquear de forma temporal en el WAF o el proxy inverso las peticiones hacia /apps/richdocumentscode/ que contengan caracteres de sustitución de comandos o secuencias de recorrido de ruta.

Recomendaciones

  • Inventariar todas las instancias de Nextcloud que tengan instalada la aplicación richdocumentscode.
  • Revisar los logs de acceso del servidor web desde el 10/09/2026 en las instancias expuestas a Internet, aunque ya estén actualizadas.
  • Aislar el servidor y preservar la evidencia si se identifica actividad sospechosa.
  • Rotar todas las credenciales accesibles desde el servidor web si se confirma un compromiso, incluidas las de base de datos y las contenidas en config.php.
  • Evaluar la reinstalación del servidor desde una fuente confiable en caso de compromiso.
  • Configurar monitoreo de integridad de archivos sobre el directorio de aplicaciones de Nextcloud.
  • Evitar exponer Nextcloud a Internet si no es necesario.
  • Utilizar un servidor Collabora Online dedicado en lugar del servidor integrado en entornos de producción.
  • Reportar cualquier incidente relacionado al CGII.

Referencias