Nextcloud: web shells mediante un fallo crítico en Collabora CODE

Una vulnerabilidad crítica en la app Collabora Online – Built-in CODE Server (richdocumentscode) para Nextcloud se está explotando para instalar web shells en los servidores. El fallo se identifica como CVE-2026-110447: según el CERT.LV tiene una puntuación CVSS de 9.2, permite ejecutar comandos del sistema operativo sin autenticación y ya se usa en ataques reales. The Hacker News y BleepingComputer informan de que los servidores comprometidos han recibido puertas traseras.

Lo más relevante para quien administra Nextcloud son los plazos: la versión corregida está disponible desde el 11 de septiembre, pero el aviso y la CVE no llegaron hasta el 14 de octubre. Según BleepingComputer, los ataques ya habían empezado a mediados de septiembre.

Detalles técnicos

• Componente: la app opcional Built-in CODE Server, que arranca un servidor Collabora integrado dentro de Nextcloud. El fallo está en el mecanismo con el que la app arranca este servidor, en el archivo proxy.php.
• Tipo: inyección de comandos del sistema operativo (OS command injection). Una petición manipulada hacia proxy.php ejecuta comandos arbitrarios en el servidor, con los privilegios del proceso que sirve Nextcloud.
• Requisitos: ninguna autenticación ni interacción del usuario. La condición necesaria es que el servidor CODE integrado no esté en ejecución, como ocurre tras un reinicio, una actualización o un fallo.
• Versiones afectadas: richdocumentscode 26.4.302 y anteriores. Corregida: 26.4.303 y posteriores.
• No afectados, según Collabora (citada por BleepingComputer): los servidores Collabora Online instalados por separado, las instalaciones Docker y con paquetes RPM/DEB y Nextcloud All-in-One.

La condición del servidor detenido no debe subestimarse: los reinicios y las actualizaciones son operaciones rutinarias, así que cada instancia con la app vulnerable queda expuesta en cada mantenimiento.

Qué hicieron los atacantes

La información sobre los ataques procede de los avisos de varios administradores, recogidos por BleepingComputer:

• los primeros ataques contra varios servidores se remontan al 10 de septiembre;
• tras el acceso se subieron web shells PHP;
• las web shells se usaron para buscar bases de datos de contraseñas, archivos de gestores de contraseñas y monederos de criptomonedas.

Algunos usuarios hablan también de grupos de ransomware que estarían explotando el fallo, pero BleepingComputer aclara que no ha podido verificarlo. Las fuentes no publican indicadores de compromiso, como direcciones IP o nombres de archivo de las web shells.

Las técnicas MITRE ATT&CK que corresponden a la cadena descrita son T1190 (Exploit Public-Facing Application), T1059.004 (Unix Shell), T1505.003 (Web Shell) y T1552.001 (Credentials In Files).

Una corrección sin CVE durante un mes

La cronología reconstruida por BleepingComputer:

• 9 de septiembre: la corrección entra en el código;
• 11 de septiembre: sale la versión 26.4.303;
• mediados de septiembre: los mantenedores avisan y empiezan los ataques;
• 3 de octubre: un aviso de la comunidad pide actualizar de inmediato, porque los ataques están en curso;
• 14 de octubre: se publican el boletín de seguridad, el aviso en GitHub y la CVE.

Nextcloud dijo a BleepingComputer que recibió el aviso de Collabora a mediados de septiembre y que distribuyó la actualización a través de la tienda de apps. Justificó la espera con la intención de dar a los usuarios tiempo para actualizar y añadió que no había observado una explotación generalizada. Collabora, en cambio, atribuye el retraso sobre todo a la acumulación de solicitudes de CVE en GitHub, agravada por el creciente número de informes generados con IA.

Sin un identificador CVE, los escáneres y los procesos de gestión de vulnerabilidades no señalaron el problema. Quien actualiza las apps de Nextcloud solo a partir de los avisos formales quedó expuesto durante semanas.

Impacto para las empresas europeas

Nextcloud está muy extendido en Europa, también entre organismos públicos y empresas que prefieren tener los archivos en sus propios servidores. Una web shell en estos servidores da acceso a los documentos compartidos y a los archivos de configuración, y puede convertirse en el punto de partida para moverse por la red interna.

Para las entidades sujetas a NIS2, si se descubre un compromiso hay que evaluar si el incidente es significativo. En Italia, en ese caso, debe enviarse la notificación al CSIRT Italia en los plazos previstos. Si el servidor contiene datos personales, y en sanidad datos de salud, se aplican también las obligaciones del RGPD sobre violaciones de datos.

Qué hacer ahora

1. Comprueba si usas la app: busca richdocumentscode entre las apps instaladas. Si Collabora funciona en un servidor aparte, con Docker o paquetes, o si usas Nextcloud All-in-One, según Collabora no estás afectado.
2. Actualiza a la 26.4.303 o posterior. Si no necesitas la app, elimínala: el fabricante advierte de que desactivarla no basta.
3. Busca rastros de compromiso desde el 10 de septiembre. Actualizar no elimina una web shell ya instalada:
   • en los registros del servidor web, revisa las peticiones hacia proxy.php de la app (carpeta apps/richdocumentscode/), sobre todo después de reinicios y actualizaciones;
   • busca archivos PHP que no formen parte de Nextcloud en la carpeta de la instalación y en las que el servidor web puede escribir, y usa los controles de integridad de Nextcloud (occ integrity:check-core y occ integrity:check-app);
   • revisa procesos y conexiones salientes inusuales del usuario del servidor web.
4. Si encuentras rastros: aísla el servidor y cambia las credenciales que contiene, empezando por la base de datos y los servicios conectados en config.php. Considera comprometidos también los archivos de contraseñas y los secretos guardados en el servidor o en el espacio de los usuarios. Después evalúa las obligaciones de notificación.
5. No te fíes solo de las CVE: para las apps expuestas a internet, sigue también los canales del fabricante (foro, notas de versión, tienda de apps), que en este caso avisaron semanas antes.

Cómo ayuda ARXDOME

En los ordenadores y servidores con el agente de ARXDOME, ARX Sentry controla la integridad de los archivos en las carpetas elegidas: si incluyes las carpetas de Nextcloud, la aparición de archivos PHP nuevos se convierte en un evento que analizar. ARX Shield muestra las vulnerabilidades abiertas por máquina, destacando las ya explotadas, y permite aislar de la red una máquina sospechosa. ARX Expose muestra qué servicios y productos de tu empresa son visibles desde internet.

Última actualización: 15 de octubre de 2026