Nextcloud: atacan el editor de documentos integrado con una falla que no pide contraseña (CVE-2026-110447)

Collabora publicó el miércoles 14 de octubre de 2026 el aviso de seguridad de CVE-2026-110447, una falla de inyección de comandos en la app "Collabora Online - Built-in CODE Server" de Nextcloud, la que permite editar documentos de Office en el navegador sin montar un servidor aparte. Cualquiera, sin usuario ni contraseña, puede ejecutar comandos en el servidor con los permisos del servidor web. La calificación es 9.2 de 10 (CVSS 4.0), crítica.

Lo grave es la cronología: la falla se explota desde el 10 de septiembre, el parche salió el 11 sin anunciarse como de seguridad y el aviso formal llegó apenas este miércoles, más de un mes después. BleepingComputer e IT-Connect reportaron el 15 de octubre los servidores ya comprometidos.

Si tu empresa usa Nextcloud como "Google Drive propio", y muchas PyMEs lo hacen justo por eso, revisa hoy qué apps tiene instaladas.

Qué está afectado

La falla está en proxy.php, el archivo que arranca el editor cuando llega una petición y no hay uno corriendo. Según el aviso, hasta la 26.4.302 ese archivo metía texto de la petición dentro de un comando de Bash, así que un $(...) en la dirección se ejecutaba tal cual. Solo funciona mientras el editor integrado no está corriendo: después de reiniciar el contenedor, de una actualización o de una caída. En un servidor pequeño que se reinicia seguido, esa ventana no es rara.

Collabora aclara que no es la misma falla que CVE-2025-66208, otra inyección de comandos en ese mismo proxy.php, y que el parche de aquella no protege contra esta. Es la segunda vez en menos de un año que ese archivo da problemas.

Cómo se descubrió (y por qué tardó)

La alerta salió de los afectados, no del fabricante. El 11 de septiembre un administrador abrió en GitHub el reporte #354, "Security issue - Hack", con las peticiones y archivos que encontró; otros dos lo confirmaron por la verificación de integridad de Nextcloud y por correos de intentos fallidos de sudo. Según IT-Connect, la corrección entró al código el 9 de septiembre con un título que no hablaba de seguridad, el primer ataque registrado fue el 10 y la 26.4.303 salió el 11. Los usuarios pidieron un CVE durante semanas; el aviso llegó el 14 de octubre.

Si actualizaste en septiembre por rutina, te protegiste sin saberlo. Si tu Nextcloud se actualiza "cuando alguien se acuerda", probablemente estuviste expuesto más de un mes.

Qué hicieron los atacantes

Con base en el reporte de GitHub e IT-Connect:

• Mandaron peticiones a proxy.php?status con un comando codificado en Base64 que escribía una web shell en PHP (un archivo de una línea que ejecuta lo que le manden) dentro de la carpeta de la app.
• Intentaron enviar el resultado de uname -a a webhook.site para confirmar que el servidor había caído.
• En al menos un servidor buscaron bóvedas de contraseñas y monederos de criptomonedas: archivos .kdbx (KeePass), wallet.dat y rastros de Bitwarden, 1Password, Bitcoin y Monero.
• No se ha reportado acceso root ni robo confirmado de archivos. El primer administrador afectado advirtió, con razón, que todo lo que pueda leer el usuario del servidor web debe darse por expuesto. En un Nextcloud eso suele incluir los archivos de toda la empresa.

Un usuario comentó en el reporte que grupos de ransomware ya estaban usando la falla; no encontramos confirmación independiente de eso. Tampoco hay cifras de cuántos servidores tienen la app instalada ni, al cierre de esta nota, una entrada en el catálogo de vulnerabilidades explotadas de CISA, que el miércoles sumó otras cuatro.

Qué hacer hoy

1. Revisa si tienes la app. En Nextcloud: Aplicaciones → Apps activas y busca "Collabora Online - Built-in CODE Server". Desde la terminal: php occ app:list | grep richdocumentscode (en Docker, antepón docker compose exec -u www-data nextcloud). Si no aparece, esta falla no te toca.
2. Actualízala o quítala. php occ app:update richdocumentscode para subir a 26.4.303 o posterior, o php occ app:remove richdocumentscode si no usas la edición en línea. Recuerda: deshabilitar no basta.
3. Ojo con la 26.4.402. Según IT-Connect, la versión del 24 de septiembre no arranca el editor en algunas instalaciones con PHP-FPM; quienes regresaron a la 26.4.303 siguen protegidos.
4. Busca web shells. find /ruta/a/nextcloud/apps/richdocumentscode -name 'shx*.php' y corre Configuración → Vista general → verificación de integridad. Cualquier archivo PHP que no venga con la app es mala señal.
5. Revisa las bitácoras del servidor web desde el 10 de septiembre: grep 'proxy.php?status' access.log | grep -E '%2e%2e|\$\(|IFS'. Si hay coincidencias, trátalo como incidente: aísla el servidor, conserva bitácoras y cambia las contraseñas de cuentas y servicios que vivan en ese equipo. Esta guía para contraseñas filtradas te sirve de lista.
6. Comprueba que tus respaldos sirven y que no viven en el mismo servidor. Si hubo intrusión, querrás restaurar a una fecha anterior al 10 de septiembre; repasa cómo armar respaldos que sobrevivan a un ransomware.
7. Si tu Nextcloud es 29 o anterior, ya no tiene soporte. Planea la actualización mayor o mueve la edición a un servidor Collabora independiente.

La lección de fondo

Nextcloud te da control de tus datos, pero también te hace responsable de los parches, igual que pasó este mes con el correo Zimbra y sus web shells. Si lo instalaste con nuestra guía de Nextcloud con Docker, suma las apps al calendario de actualizaciones, no solo la imagen principal.

Si nadie en tu equipo tiene tiempo para esto, el soporte técnico o la administración de servidores deberían incluir parches mensuales y revisión de bitácoras, no solo atender cuando algo se cae.