[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/nextcloud-collabora-cve-2026-110447-web-shells":3,"prev-/blog/noticias/nextcloud-collabora-cve-2026-110447-web-shells":510,"next-/blog/noticias/nextcloud-collabora-cve-2026-110447-web-shells":487,"related-/blog/noticias/nextcloud-collabora-cve-2026-110447-web-shells":513,"author-Diego Herrera":532},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":463,"cta":464,"date":470,"dateModified":470,"description":471,"draft":472,"extension":473,"faq":474,"featured":472,"howto":487,"image":488,"imageAlt":489,"intent":490,"keywords":491,"meta":496,"navigation":497,"path":498,"publishedTime":499,"readingTime":500,"seo":501,"seoTitle":502,"stem":503,"tags":504,"__hash__":509},"blog/blog/noticias/nextcloud-collabora-cve-2026-110447-web-shells.md","Nextcloud: atacan el editor de documentos integrado con una falla que no pide contraseña (CVE-2026-110447)","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":453},"minimark",[11,38,45,53,58,128,143,160,170,174,181,184,188,191,234,242,314,317,321,414,418,431,444],[12,13,14,25,26,29,30,33,34,37],"p",{},[15,16,17,18],"strong",{},"Collabora publicó el miércoles 14 de octubre de 2026 el aviso de seguridad de ",[19,20,24],"a",{"href":21,"rel":22},"https://github.com/CollaboraOnline/online/security/advisories/GHSA-g3vx-3m76-fghh",[23],"nofollow","CVE-2026-110447",", una falla de inyección de comandos en la app ",[15,27,28],{},"\"Collabora Online - Built-in CODE Server\""," de Nextcloud, la que permite editar documentos de Office en el navegador sin montar un servidor aparte. Cualquiera, ",[15,31,32],{},"sin usuario ni contraseña",", puede ejecutar comandos en el servidor con los permisos del servidor web. La calificación es ",[15,35,36],{},"9.2 de 10 (CVSS 4.0), crítica",".",[12,39,40,41,44],{},"Lo grave es la cronología: la falla ",[15,42,43],{},"se explota desde el 10 de septiembre",", el parche salió el 11 sin anunciarse como de seguridad y el aviso formal llegó apenas este miércoles, más de un mes después. BleepingComputer e IT-Connect reportaron el 15 de octubre los servidores ya comprometidos.",[12,46,47,48,52],{},"Si tu empresa usa Nextcloud como \"Google Drive propio\", y muchas PyMEs lo hacen ",[19,49,51],{"href":50},"/blog/comparativa/nextcloud-vs-google-workspace","justo por eso",", revisa hoy qué apps tiene instaladas.",[54,55,57],"h2",{"id":56},"qué-está-afectado","Qué está afectado",[59,60,61,74],"table",{},[62,63,64],"thead",{},[65,66,67,71],"tr",{},[68,69,70],"th",{},"Concepto",[68,72,73],{},"Detalle",[75,76,77,91,102,112,120],"tbody",{},[65,78,79,83],{},[80,81,82],"td",{},"App",[80,84,85,86,90],{},"Collabora Online - Built-in CODE Server (",[87,88,89],"code",{},"richdocumentscode",")",[65,92,93,96],{},[80,94,95],{},"Versiones vulnerables",[80,97,98,99],{},"Todas las anteriores a ",[15,100,101],{},"26.4.303",[65,103,104,107],{},[80,105,106],{},"Versión corregida",[80,108,109,111],{},[15,110,101],{}," o posterior",[65,113,114,117],{},[80,115,116],{},"No afectados",[80,118,119],{},"Servidores Collabora Online independientes; Nextcloud Office conectado a un Collabora separado; OnlyOffice",[65,121,122,125],{},[80,123,124],{},"Nextcloud sin soporte (29 o anterior)",[80,126,127],{},"Collabora pide actualizar Nextcloud o eliminar la app",[12,129,130,131,134,135,138,139,142],{},"La falla está en ",[87,132,133],{},"proxy.php",", el archivo que arranca el editor cuando llega una petición y no hay uno corriendo. Según el aviso, hasta la 26.4.302 ese archivo metía texto de la petición dentro de un comando de Bash, así que un ",[87,136,137],{},"$(...)"," en la dirección se ejecutaba tal cual. Solo funciona ",[15,140,141],{},"mientras el editor integrado no está corriendo",": después de reiniciar el contenedor, de una actualización o de una caída. En un servidor pequeño que se reinicia seguido, esa ventana no es rara.",[144,145,148],"callout",{"icon":146,"title":147},"i-lucide-triangle-alert","Deshabilitar la app no sirve",[12,149,150,152,153,156,157,37],{},[87,151,133],{}," lo ejecuta el servidor web directamente, sin cargar Nextcloud. Aunque la app aparezca deshabilitada en el panel, el archivo sigue respondiendo. Las únicas salidas son ",[15,154,155],{},"actualizar a 26.4.303 o posterior"," o ",[15,158,159],{},"eliminar la app",[12,161,162,163,166,167,169],{},"Collabora aclara que no es la misma falla que ",[15,164,165],{},"CVE-2025-66208",", otra inyección de comandos en ese mismo ",[87,168,133],{},", y que el parche de aquella no protege contra esta. Es la segunda vez en menos de un año que ese archivo da problemas.",[54,171,173],{"id":172},"cómo-se-descubrió-y-por-qué-tardó","Cómo se descubrió (y por qué tardó)",[12,175,176,177,180],{},"La alerta salió de los afectados, no del fabricante. El 11 de septiembre un administrador abrió en GitHub el reporte #354, \"Security issue - Hack\", con las peticiones y archivos que encontró; otros dos lo confirmaron por la verificación de integridad de Nextcloud y por correos de intentos fallidos de ",[87,178,179],{},"sudo",". Según IT-Connect, la corrección entró al código el 9 de septiembre con un título que no hablaba de seguridad, el primer ataque registrado fue el 10 y la 26.4.303 salió el 11. Los usuarios pidieron un CVE durante semanas; el aviso llegó el 14 de octubre.",[12,182,183],{},"Si actualizaste en septiembre por rutina, te protegiste sin saberlo. Si tu Nextcloud se actualiza \"cuando alguien se acuerda\", probablemente estuviste expuesto más de un mes.",[54,185,187],{"id":186},"qué-hicieron-los-atacantes","Qué hicieron los atacantes",[12,189,190],{},"Con base en el reporte de GitHub e IT-Connect:",[192,193,194,206,213,228],"ul",{},[195,196,197,198,201,202,205],"li",{},"Mandaron peticiones a ",[87,199,200],{},"proxy.php?status"," con un comando codificado en Base64 que ",[15,203,204],{},"escribía una web shell en PHP"," (un archivo de una línea que ejecuta lo que le manden) dentro de la carpeta de la app.",[195,207,208,209,212],{},"Intentaron enviar el resultado de ",[87,210,211],{},"uname -a"," a webhook.site para confirmar que el servidor había caído.",[195,214,215,216,219,220,223,224,227],{},"En al menos un servidor ",[15,217,218],{},"buscaron bóvedas de contraseñas y monederos de criptomonedas",": archivos ",[87,221,222],{},".kdbx"," (KeePass), ",[87,225,226],{},"wallet.dat"," y rastros de Bitwarden, 1Password, Bitcoin y Monero.",[195,229,230,233],{},[15,231,232],{},"No se ha reportado acceso root"," ni robo confirmado de archivos. El primer administrador afectado advirtió, con razón, que todo lo que pueda leer el usuario del servidor web debe darse por expuesto. En un Nextcloud eso suele incluir los archivos de toda la empresa.",[12,235,236,237,241],{},"Un usuario comentó en el reporte que grupos de ransomware ya estaban usando la falla; no encontramos confirmación independiente de eso. Tampoco hay cifras de cuántos servidores tienen la app instalada ni, al cierre de esta nota, una entrada en el ",[19,238,240],{"href":239},"/blog/noticias/pan-os-cve-2026-0322-consola-firewall-explotada","catálogo de vulnerabilidades explotadas de CISA",", que el miércoles sumó otras cuatro.",[59,243,244,254],{},[62,245,246],{},[65,247,248,251],{},[68,249,250],{},"Indicador",[68,252,253],{},"Valor reportado",[75,255,256,278,298,306],{},[65,257,258,261],{},[80,259,260],{},"Archivos de web shell",[80,262,263,266,267,270,271,274,275],{},[87,264,265],{},"shx*.php"," (por ejemplo ",[87,268,269],{},"shxa35d0.php",", ",[87,272,273],{},"shx5cf91.php",") dentro de ",[87,276,277],{},"apps/richdocumentscode",[65,279,280,283],{},[80,281,282],{},"Patrones en bitácoras",[80,284,285,286,288,289,270,292,156,295],{},"Peticiones a ",[87,287,200],{}," con ",[87,290,291],{},"%2e%2e",[87,293,294],{},"$(",[87,296,297],{},"${IFS}",[65,299,300,303],{},[80,301,302],{},"IP de origen",[80,304,305],{},"139.28.18.122 y 89.38.98.50",[65,307,308,311],{},[80,309,310],{},"Dominio de salida",[80,312,313],{},"webhook.site",[315,316],"ad-banner",{},[54,318,320],{"id":319},"qué-hacer-hoy","Qué hacer hoy",[322,323,324,347,361,367,383,398,408],"ol",{},[195,325,326,329,330,334,335,338,339,342,343,346],{},[15,327,328],{},"Revisa si tienes la app."," En Nextcloud: ",[331,332,333],"em",{},"Aplicaciones"," → ",[331,336,337],{},"Apps activas"," y busca \"Collabora Online - Built-in CODE Server\". Desde la terminal: ",[87,340,341],{},"php occ app:list | grep richdocumentscode"," (en Docker, antepón ",[87,344,345],{},"docker compose exec -u www-data nextcloud","). Si no aparece, esta falla no te toca.",[195,348,349,352,353,356,357,360],{},[15,350,351],{},"Actualízala o quítala."," ",[87,354,355],{},"php occ app:update richdocumentscode"," para subir a 26.4.303 o posterior, o ",[87,358,359],{},"php occ app:remove richdocumentscode"," si no usas la edición en línea. Recuerda: deshabilitar no basta.",[195,362,363,366],{},[15,364,365],{},"Ojo con la 26.4.402."," Según IT-Connect, la versión del 24 de septiembre no arranca el editor en algunas instalaciones con PHP-FPM; quienes regresaron a la 26.4.303 siguen protegidos.",[195,368,369,352,372,375,376,334,379,382],{},[15,370,371],{},"Busca web shells.",[87,373,374],{},"find /ruta/a/nextcloud/apps/richdocumentscode -name 'shx*.php'"," y corre ",[331,377,378],{},"Configuración",[331,380,381],{},"Vista general"," → verificación de integridad. Cualquier archivo PHP que no venga con la app es mala señal.",[195,384,385,388,389,392,393,397],{},[15,386,387],{},"Revisa las bitácoras del servidor web desde el 10 de septiembre",": ",[87,390,391],{},"grep 'proxy.php?status' access.log | grep -E '%2e%2e|\\$\\(|IFS'",". Si hay coincidencias, trátalo como incidente: aísla el servidor, conserva bitácoras y cambia las contraseñas de cuentas y servicios que vivan en ese equipo. Esta ",[19,394,396],{"href":395},"/blog/tutorial/contrasenas-filtradas-empresa","guía para contraseñas filtradas"," te sirve de lista.",[195,399,400,403,404,37],{},[15,401,402],{},"Comprueba que tus respaldos sirven"," y que no viven en el mismo servidor. Si hubo intrusión, querrás restaurar a una fecha anterior al 10 de septiembre; repasa ",[19,405,407],{"href":406},"/blog/tutorial/respaldo-sobrevivir-ransomware","cómo armar respaldos que sobrevivan a un ransomware",[195,409,410,413],{},[15,411,412],{},"Si tu Nextcloud es 29 o anterior",", ya no tiene soporte. Planea la actualización mayor o mueve la edición a un servidor Collabora independiente.",[54,415,417],{"id":416},"la-lección-de-fondo","La lección de fondo",[12,419,420,421,425,426,430],{},"Nextcloud te da control de tus datos, pero también te hace responsable de los parches, igual que pasó este mes con el ",[19,422,424],{"href":423},"/blog/noticias/zimbra-cve-2026-73570-correo-web-shells","correo Zimbra y sus web shells",". Si lo instalaste con nuestra ",[19,427,429],{"href":428},"/blog/tutorial/instalar-nextcloud-servidor","guía de Nextcloud con Docker",", suma las apps al calendario de actualizaciones, no solo la imagen principal.",[12,432,433,434,438,439,443],{},"Si nadie en tu equipo tiene tiempo para esto, el ",[19,435,437],{"href":436},"/servicios/soporte-tecnico","soporte técnico"," o la ",[19,440,442],{"href":441},"/servicios/servidores","administración de servidores"," deberían incluir parches mensuales y revisión de bitácoras, no solo atender cuando algo se cae.",[445,446],"call-to-action",{"description":447,"eyebrow":448,"icon":449,"label":450,"title":451,"to":452},"Revisamos versión, apps, web shells y bitácoras de tu Nextcloud y te decimos en un día si hubo intrusión y qué corregir.","Nextcloud expuesto","i-lucide-calendar-check","Agendar revisión","¿Alguien entró a tu servidor de archivos en septiembre?","/contacto",{"title":454,"searchDepth":455,"depth":456,"links":457},"",2,3,[458,459,460,461,462],{"id":56,"depth":455,"text":57},{"id":172,"depth":455,"text":173},{"id":186,"depth":455,"text":187},{"id":319,"depth":455,"text":320},{"id":416,"depth":455,"text":417},"noticias",{"title":465,"description":466,"label":467,"to":468,"icon":469},"Revisamos tu Nextcloud hoy","Verificamos versión y apps instaladas, buscamos web shells y huellas en bitácoras, y dejamos el servidor actualizado y con respaldos probados.","Ver ciberseguridad","/servicios/ciberseguridad","i-lucide-shield-check","2026-10-15","Collabora publicó el 14 de octubre CVE-2026-110447: falla en el Built-in CODE Server de Nextcloud explotada desde septiembre para dejar web shells. Qué revisar.",false,"md",[475,478,481,484],{"question":476,"answer":477},"¿Mi Nextcloud está afectado por CVE-2026-110447?","Solo si tiene instalada la app 'Collabora Online - Built-in CODE Server' (nombre técnico richdocumentscode) en una versión anterior a la 26.4.303. Si editas documentos con un servidor Collabora Online independiente, con OnlyOffice o no usas edición en línea, esta falla no te aplica. El aviso de Collabora lo dice expresamente para los servidores Collabora independientes.",{"question":479,"answer":480},"¿Basta con deshabilitar la app?","No. El archivo vulnerable, proxy.php, lo ejecuta el servidor web directamente sin pasar por Nextcloud, así que sigue respondiendo aunque la app esté deshabilitada. Collabora pide actualizar a la 26.4.303 o posterior, o eliminar la app por completo.",{"question":482,"answer":483},"Ya actualicé, ¿estoy a salvo?","De la falla, sí; de lo que ya hayan dejado, no necesariamente. Los ataques empezaron el 10 de septiembre y el parche salió el 11 sin decir que era de seguridad. Si tu servidor estuvo con una versión vulnerable en esas semanas, busca archivos shx*.php dentro de apps/richdocumentscode y revisa las bitácoras del servidor web.",{"question":485,"answer":486},"¿Qué buscaban los atacantes?","En los casos reportados, después de dejar la web shell buscaron bóvedas de contraseñas (archivos .kdbx, rastros de Bitwarden o 1Password) y monederos de criptomonedas. No se ha reportado acceso root ni robo confirmado de archivos, pero todo lo que puede leer el usuario del servidor web debe considerarse expuesto.",null,"/images/blog/noticias/nextcloud-collabora-cve-2026-110447-web-shells.jpg","Servidor de archivos en rack con una nube de documentos y un aviso de alerta sobre la carpeta de aplicaciones","informational",[492,493,494,495],"cve-2026-110447","nextcloud collabora vulnerabilidad","richdocumentscode built-in code server","nextcloud web shell",{},true,"/blog/noticias/nextcloud-collabora-cve-2026-110447-web-shells","2026-10-15T15:30:00-06:00",5,{"title":5,"description":471},"Nextcloud Collabora CVE-2026-110447: explotada, qué hacer","blog/noticias/nextcloud-collabora-cve-2026-110447-web-shells",[505,506,507,508],"ciberseguridad","nextcloud","vulnerabilidades","servidores","A_e1jyXCPI2tCLvycVegcZ8xZM0hCMpr_hV0tVZzpVI",{"path":511,"title":512},"/blog/noticias/sophos-firewall-email-suben-precio-1-noviembre","Sophos sube otra vez sus precios el 1 de noviembre: firewalls XGS 10% más caros por segunda vez en cuatro meses",[514,520,526],{"path":515,"title":516,"description":517,"date":470,"category":463,"image":518,"imageAlt":519,"readingTime":500},"/blog/noticias/ley-ingresos-2027-diputados-regularizacion-fiscal-sin-tope","Diputados aprueban la Ley de Ingresos 2027 con un solo cambio: la regularización fiscal ya no tendrá tope de 300 millones","Diputados aprobó de madrugada la Ley de Ingresos 2027 (340 a 109) y solo aceptó un cambio: quitar el tope de 300 millones a la regularización fiscal. Qué sigue.","/images/blog/noticias/ley-ingresos-2027-diputados-regularizacion-fiscal-sin-tope.jpg","Tablero de votación de la Cámara de Diputados de madrugada junto a una pila de expedientes fiscales",{"path":521,"title":522,"description":523,"date":470,"category":463,"image":524,"imageAlt":525,"readingTime":500},"/blog/noticias/github-copilot-retira-modelos-19-octubre","GitHub Copilot retira seis modelos el lunes 19, y el reemplazo de GPT-5.5 no está en el plan Pro","GitHub Copilot retira el 19 de octubre seis modelos: GPT-5.5, GPT-5.4 y su mini, GPT-5 mini, Gemini 3.7 Flash y Grok 4.5. Reemplazos, qué revisar y costo.","/images/blog/noticias/github-copilot-retira-modelos-19-octubre.jpg","Pantalla de un editor de código con un selector de modelos de inteligencia artificial y un calendario al lado",{"path":527,"title":528,"description":529,"date":470,"category":463,"image":530,"imageAlt":531,"readingTime":500},"/blog/noticias/fallas-viejas-explotadas-china-correo-aa26-281a","Fallas de 2015 todavía abren la puerta: agencias de siete países alertan que una red ligada a China roba correo con parches que tienen diez años","El aviso AA26-281A de FBI, CISA, NSA y seis países: un grupo ligado a China roba correo con fallas de 2014 a 2023 en ProFTPD, BIND u ONLYOFFICE. Qué revisar.","/images/blog/noticias/fallas-viejas-explotadas-china-correo-aa26-281a.jpg","Rack de servidores antiguos con etiquetas de fechas viejas junto a una pantalla con alertas de seguridad",{"id":533,"avatar":487,"bio":534,"entityType":535,"expertise":536,"extension":537,"meta":538,"name":6,"role":539,"slug":540,"social":487,"stem":541,"url":7,"__hash__":542},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]