Ciberatacantes están explotando una vulnerabilidad crítica (CVE-2026-110447) de ejecución de comandos en la aplicación Collabora Online integrada de Nextcloud, permitiendo la instalación de webshells y robo de datos. El fallo afecta a versiones anteriores a la 26.4.303 y ocurre cuando el servidor CODE interno está detenido, sin requerir autenticación. Se recomienda actualizar inmediatamente o eliminar la aplicación, ya que el retraso en la publicación oficial del CVE facilitó la explotación masiva.





Los actores de amenazas están explotando un fallo crítico de ejecución de comandos, ahora rastreado como CVE-2026-110447, en la aplicación Collabora Online - Built-in CODE Server (richdocumentscode) para Nextcloud.

Múltiples informes de administradores indican que los ataques comenzaron a mediados de septiembre, aproximadamente un mes antes del boletín de seguridad formal [https://github.com/CollaboraOnline/online/security/advisories/GHSA-g3vx-3m76-fghh], el aviso de GitHub [https://github.com/advisories/GHSA-f97p-r72q-64h2] y la publicación del CVE [https://nvd.nist.gov/vuln/detail/cve-2026-110447].

El CVE-2026-110447 afecta a las versiones de richdocumentscode anteriores a la 26.4.303 y reside en el mecanismo de la aplicación de Nextcloud para iniciar el servidor Collabora incluido.

El fallo afecta solo a la aplicación opcional del servidor CODE integrado. Los servidores Collabora Online independientes, las instalaciones Docker y RPM/DEB, y los despliegues Nextcloud All-in-One no se ven afectados, según Collabora.

Los ataques consisten en enviar una solicitud maliciosa al punto final proxy.php de la aplicación, provocando una inyección de comandos del sistema operativo.

Un requisito previo clave para una explotación exitosa es que el servidor CODE integrado debe estar detenido (por ejemplo, después de un reinicio, actualización o fallo). No se requiere autenticación ni interacción del usuario.

Los administradores de sistemas afectados por la actividad maliciosa informaron de ataques contra múltiples puntos finales [https://github.com/CollaboraOnline/richdocumentscode/issues/354] que se remontan al 10 de septiembre.

Según los informes, el atacante implantó webshells de PHP y las utilizó para buscar bases de datos de contraseñas, artefactos de gestores de contraseñas y monederos de criptomonedas.

Algunos usuarios también informaron que los operadores de ransomware están explotando el fallo [https://github.com/CollaboraOnline/richdocumentscode/issues/354#issuecomment-5888045855], aunque no se ha podido confirmar de forma independiente.

Se recomienda a los administradores de sistemas actualizar a la versión 26.4.303 o posterior, o eliminar la aplicación del servidor si no es necesaria. El proveedor advirtió que deshabilitar la aplicación es insuficiente.

Además de las advertencias de mediados de septiembre de los mantenedores, el 3 de octubre también se publicó una advertencia de la comunidad [https://help.nextcloud.com/t/to-collabora-built-in-user-update-asap/250516/3], instando a los administradores a actualizar inmediatamente debido a la explotación en curso.

Sin embargo, la falta de un ID de CVE dificultó que los administradores identificaran correctamente el problema e implementaran defensas eficientes.

Un estudio [https://thepatchlesswindow.com/] de la empresa de ciberseguridad Second Security ilustra la brecha entre las correcciones de seguridad y las notificaciones formales de vulnerabilidades.

La firma analizó ejemplos reales de fallos de código abierto y encontró que el intervalo medio entre las correcciones públicas y la publicación del CVE fue de 39 días en agosto, frente a los 5,1 días de enero.

Los investigadores sugieren que el creciente volumen de descubrimientos de vulnerabilidades asistidos por IA está saturando el procesamiento de CVE y contribuyendo a los retrasos en la publicación.


En muchos casos, los investigadores descubrieron que el código de explotación público aparecía en línea a las pocas horas de una corrección de seguridad y varios días antes de que se publicara el CVE correspondiente.

Second Security señala que el uso de herramientas de IA facilita que los atacantes generen exploits funcionales para las correcciones publicadas.


En el caso de Collabora, la corrección se implementó el 9 de septiembre y la versión 26.4.303 se lanzó el 11 de septiembre. El aviso y el CVE se publicaron el 14 de octubre, una brecha de más de cuatro semanas.

Se contactó a Nextcloud con preguntas sobre su respuesta a los informes de actividad maliciosa, así como detalles sobre los ataques y el número de sistemas afectados.

Nextcloud indicó que Collabora informó de la vulnerabilidad a mediados de septiembre y que una actualización estuvo disponible a través de la tienda de aplicaciones.

La empresa justificó el retraso en la divulgación afirmando que dio tiempo a los usuarios para actualizar y que no había observado una explotación generalizada.

En una entrada de blog [https://www.collaboraonline.com/blog/stay-safe-upgrade-everything-regularly/] publicada hoy sobre la actividad, Collabora atribuyó el anuncio retrasado principalmente a los retrasos en el procesamiento de CVE de GitHub, que según afirma están bajo presión debido al aumento de los informes de seguridad impulsados por la IA.

Fuente:
BleepingComputer