Nextcloud, Collabora CODE: la CVE-2026-110447 entra en el KEV

El 14 de octubre ARX News trató la CVE-2026-110447, la OS command injection en la app Collabora Online – Built-in CODE Server (richdocumentscode) para Nextcloud, explotada para instalar web shells PHP. El 23 de octubre de 2026 la CISA la incluyó en el catálogo Known Exploited Vulnerabilities (KEV), que reúne las vulnerabilidades de las que la agencia tiene pruebas de explotación activa. Ese mismo día se actualizó la ficha de NVD. A continuación, las novedades respecto al primer artículo.

Qué cambia con la inclusión en el KEV

En el primer artículo, la explotación estaba documentada por el aviso del CERT.LV y por los reportes de administradores recogidos por la prensa especializada. Ahora también la CISA considera explotada la vulnerabilidad.

La ficha del KEV se titula «Collabora Online – Built-in CODE Server OS Command Injection Vulnerability» y pide:

• aplicar las mitigaciones según las instrucciones del fabricante, siguiendo la directiva BOD 26-04 de la CISA sobre la prioridad de las actualizaciones según el riesgo y sus requisitos de triaje forense («Forensics Triage Requirements»);
• para los servicios en la nube, seguir la misma directiva o dejar de usar el producto si no hay mitigaciones disponibles;
• evaluar la exposición a Internet de cada sistema.

Para las agencias federales estadounidenses el plazo es el 26 de octubre de 2026, tres días después de la inclusión. El plazo no se aplica a las empresas europeas, pero indica la prioridad que la CISA asigna a la vulnerabilidad.

La ficha no describe los ataques: no indica víctimas, actores ni indicadores de compromiso. En el apartado sobre el uso en campañas de ransomware figura «Unknown», es decir, no conocido. Sigue sin confirmarse, por tanto, lo que algunos usuarios habían escrito sobre grupos de ransomware que explotarían el fallo, como ya se precisó en el primer artículo.

Los detalles de la ficha de NVD

La ficha de NVD de la CVE-2026-110447, publicada el 14 de octubre y modificada por última vez el 23, está en estado «Deferred»: NVD ha aplazado su propio análisis y no ha asignado una puntuación propia. Queda la proporcionada por MITRE, CVSS 4.0 9.2 (crítica), con vector AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Significa: ataque desde la red, baja complejidad, sin privilegios y sin interacción del usuario; impacto alto en la confidencialidad, la integridad y la disponibilidad del sistema vulnerable, sin impacto indicado en los sistemas posteriores. El valor AT:P (requisitos de ataque presentes) es coherente con la condición ya conocida: el servidor CODE integrado no debe estar en ejecución. La debilidad está clasificada como CWE-78 (OS command injection).

La descripción de NVD añade tres elementos:

• la explotación se produjo en septiembre y en octubre de 2026, es decir, también después de la publicación de la versión corregida, el 11 de septiembre;
• la vulnerabilidad es distinta de la CVE-2025-66208: son dos identificadores diferentes;
• el fallo está en proxy.php y se presenta cuando el servidor CODE no está en ejecución, por ejemplo justo después de reiniciar el producto; los servidores Collabora Online instalados por separado no están afectados, solo esta modalidad con el CODE Server integrado.

La versión corregida que indica NVD coincide con la del primer artículo: 26.4.303; todas las anteriores son vulnerables.

Entre las referencias, además de la ficha del KEV, NVD enlaza la incidencia n.º 354 del repositorio de GitHub CollaboraOnline/richdocumentscode y el hilo del foro de Nextcloud titulado «To Collabora built-in user: update ASAP».

Impacto para las empresas europeas e italianas

Con la inclusión en el KEV, la vulnerabilidad entra en las listas de prioridad de quien sigue el catálogo de la CISA. El primer artículo señalaba que, sin un identificador CVE, el fallo había pasado desapercibido durante semanas para escáneres y procesos de gestión de vulnerabilidades: ahora tiene una CVE, una puntuación y la confirmación de la explotación por parte de una agencia gubernamental. Como la explotación continuó en octubre, si todavía no has actualizado debes considerar posible un compromiso ya ocurrido.

Para las entidades incluidas en NIS2 vale lo ya escrito: la gestión de las vulnerabilidades explotadas forma parte de las medidas de seguridad y un compromiso debe evaluarse para la notificación al CSIRT nacional (en Italia, CSIRT Italia de la ACN). Si el servidor contiene datos personales, y en sanidad datos de salud, se aplican también las obligaciones del RGPD sobre violaciones de datos.

Qué hacer ya

1. Comprueba si usas la app richdocumentscode en todas las instancias de Nextcloud, incluidas las de pruebas. Las instalaciones con un servidor Collabora Online separado no están afectadas.

2. Actualiza a la 26.4.303 o posterior. Si no necesitas la app, elimínala: como se indicó en el primer artículo, el fabricante advierte que desactivarla no basta.

3. No confundas las CVE: si en tus herramientas aparece la CVE-2025-66208, trátala aparte; la CVE-2026-110447 es otra vulnerabilidad.

4. Haz el triaje forense, como pide también la CISA, sobre todo el periodo desde septiembre hasta hoy:

   • peticiones al proxy.php de la app en los registros del servidor web, sobre todo después de reinicios y actualizaciones;
   • archivos PHP ajenos a Nextcloud, también con occ integrity:check-core y occ integrity:check-app;
   • procesos y conexiones salientes inusuales del usuario del servidor web.

   Actualizar no elimina una web shell ya instalada.

5. Si encuentras rastros: aísla el servidor, cambia las credenciales de config.php y los secretos guardados en el servidor y luego evalúa las obligaciones de notificación.

Cómo ayuda ARXDOME

ARX Shield muestra las vulnerabilidades abiertas en las máquinas supervisadas, con las ya explotadas destacadas, y permite aislar de la red una máquina sospechosa. En ordenadores y servidores con el agente de ARXDOME, ARX Sentry controla la integridad de los archivos en las carpetas que elijas: si incluyes las de Nextcloud, la aparición de nuevos archivos PHP se convierte en un evento que analizar. ARX Expose muestra qué servicios de tu empresa son visibles desde Internet.

Última actualización: 23 de octubre de 2026