ONLYOFFICE Docs CVE-2021-3199: path traversal y RCE explotada

El 8 de octubre de 2026 la CISA añadió al catálogo Known Exploited Vulnerabilities (KEV) la CVE-2021-3199, una vulnerabilidad de ONLYOFFICE Document Server, el servidor que abre y edita los documentos de ONLYOFFICE Docs. Un path traversal en el endpoint /upload permite llegar a la ejecución remota de código en el servidor. La gravedad es crítica: CVSS 3.1 9.8.

La vulnerabilidad es pública desde enero de 2021 y afecta a las versiones anteriores a la 5.6.3. Su entrada en el catálogo KEV indica que la CISA tiene pruebas de explotación activa: las instalaciones que se han quedado atrás deben actualizarse con prioridad.

Qué ha pasado

La CISA incluyó la CVE-2021-3199 en el KEV con la descripción “ONLYOFFICE Docs Server Path Traversal Vulnerability” y fijó el 11 de octubre de 2026 como plazo para las agencias federales estadounidenses: tres días. En el catálogo, el uso en campañas de ransomware figura como “desconocido”.

El aviso pide aplicar las mitigaciones según las instrucciones del fabricante, de acuerdo con la directiva BOD 26-04 sobre la priorización de las actualizaciones en función del riesgo y con los requisitos de triaje forense de la CISA. Para los servicios en la nube rigen las indicaciones de la misma directiva; si no hay mitigaciones disponibles, hay que dejar de usar el producto. El aviso también pide evaluar la exposición a Internet de cada sistema.

La CISA no da detalles sobre los ataques observados, sus autores o las víctimas.

Detalles técnicos

• CVE: CVE-2021-3199, publicada el 26 de enero de 2021. La ficha de la NVD se actualizó el 9 de octubre de 2026.
• Producto y versiones: ONLYOFFICE Document Server anterior a la 5.6.3 (configuración CPE: onlyoffice document_server < 5.6.3). Entre las referencias de la ficha está el changelog de la versión 5.6.3.
• Mecanismo: según la descripción de la NVD, una secuencia /.. introducida en un parámetro de la subida de imágenes, en el endpoint /upload, sale de la carpeta prevista (directory traversal) y permite la ejecución remota de código. La descripción precisa que el problema se produce cuando se usa JWT, el mecanismo de tokens con el que el servidor de documentos autentica las peticiones.
• Gravedad: CVSS 3.1 9.8 (crítica), AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, tanto en la evaluación del NIST como en una segunda evaluación que recoge la ficha. El vector indica un ataque por red, de baja complejidad, sin privilegios y sin interacción del usuario, con impacto alto en confidencialidad, integridad y disponibilidad. En CVSS 2 la puntuación es 7.5 (alta).
• Debilidad: CWE-22 (limitación incorrecta de una ruta a un directorio restringido, es decir, path traversal).
• Código público: entre las referencias, la ficha de la NVD incluye dos scripts de prueba públicos en GitHub (poc_uploadImageFile.py), clasificados como “Exploit”. Los detalles para explotar la vulnerabilidad están, por tanto, al alcance de cualquiera.
• MITRE ATT&CK: en un servidor accesible desde Internet, la explotación corresponde a la técnica T1190, Exploit Public-Facing Application.

Impacto para las empresas europeas e italianas

El servidor de documentos procesa los archivos que los usuarios abren y editan en el navegador: contratos, ofertas, documentos de personal. Quien ejecuta código en ese servidor puede llegar a los documentos que pasan por él y, según cómo esté instalado, usarlo como punto de apoyo hacia el resto de la red. Si los documentos contienen datos personales, un acceso no autorizado puede constituir una violación según el RGPD, que hay que evaluar para notificarla a la autoridad de control en un plazo de 72 horas.

La antigüedad de la vulnerabilidad no la hace menos relevante. Las instalaciones locales a menudo se configuran una vez y luego se olvidan, o las gestiona un proveedor externo junto con la plataforma para compartir archivos: por eso pueden seguir en producción versiones con años de antigüedad. Su inclusión en el KEV indica que alguien las está buscando.

Para las entidades sujetas a NIS2, la vulnerabilidad entra en la gestión de vulnerabilidades y en la seguridad de la cadena de suministro: las instalaciones gestionadas por terceros deben verificarse con el proveedor. Un incidente significativo debe notificarse al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN. En el sector sanitario, donde los documentos suelen contener datos de salud, el compromiso del servidor de documentos tiene consecuencias más graves y la verificación debe hacerse sin esperar.

Qué hacer ya

1. Haz inventario: localiza todas las instancias de ONLYOFFICE Document Server, incluidas las instaladas junto con otras plataformas o gestionadas por proveedores, y la versión de cada una.
2. Actualiza: lleva cada instancia al menos a la 5.6.3, la versión que la ficha de la NVD indica como límite, y preferiblemente a la última versión con soporte del fabricante.
3. Reduce la exposición: limita el acceso al servidor de documentos a quien realmente lo necesita; si no tiene que estar accesible desde todo Internet, ponlo detrás de la VPN o del proxy inverso.
4. Si no puedes actualizar enseguida: sigue las instrucciones del fabricante, como pide la CISA; si no hay mitigaciones disponibles, desconecta el servicio.
5. Detecta: busca en los registros del servidor web y del proxy inverso peticiones a /upload con secuencias /.., también codificadas, en los parámetros. Revisa los archivos creados o modificados fuera de las carpetas de trabajo del servidor de documentos y los procesos inusuales iniciados por el usuario del servicio.
6. Si encuentras rastros de explotación: aísla el servidor, conserva los registros y las imágenes del disco para el análisis forense antes de reinstalar, y cambia las claves y los secretos configurados en el servidor, incluido el secreto JWT.

Cómo ayuda ARXDOME

ARX Shield muestra las vulnerabilidades abiertas por máquina y por paquete y destaca las que ya explotan los atacantes, como las CVE del catálogo KEV; si un servidor es sospechoso, permite aislarlo de la red. ARX Expose controla los servicios que tu empresa expone en Internet, los productos reconocidos y sus vulnerabilidades conocidas. ARX Sentry recoge registros y eventos de los servidores y controla la integridad de los archivos en las carpetas establecidas, para que las escrituras fuera de lugar no pasen desapercibidas.

Última actualización: 8 de octubre de 2026