Nextcloud: atacantes instalan webshells a través de la aplicación Built-in CODE Server de Collabora; actualícela o elimínela

Una falla crítica de la aplicación opcional Collabora Online - Built-in CODE Server para Nextcloud permite a cualquiera ejecutar comandos del sistema en el servidor sin autenticarse. Se explota desde al menos el 10 de septiembre; Collabora publicó el aviso, CVE-2026-110447, el 14 de octubre.

Qué ha pasado

El 14 de octubre de 2026, Collabora publicó el aviso CVE-2026-110447 (CVSS 4.0: 9,2): una inyección de comandos sin autenticación en proxy.php de la aplicación de Nextcloud Collabora Online - Built-in CODE Server (richdocumentscode). Esta aplicación ejecuta una suite ofimática en el mismo servidor que Nextcloud, sin una instalación de Collabora aparte. Una petición manipulada basta para ejecutar un comando del sistema con los permisos del usuario del servidor web.

El aviso llegó tarde; los ataques, mucho antes. Ya el 11 de septiembre, un administrador que aloja varios servidores Nextcloud denunció en la página de GitHub de la aplicación intrusiones con éxito desde el día anterior, con registros del 10 de septiembre. Otros describieron después la aparición de archivos PHP llamados shx…php en su instalación e intentos fallidos de sudo. La versión corregida, 26.4.303, salió el 11 de septiembre.

A quién afecta

A toda instancia de Nextcloud con la aplicación Built-in CODE Server en una versión anterior a 26.4.303. La falla solo puede explotarse mientras el servidor ofimático integrado está detenido: tras reiniciar el contenedor, una actualización o un fallo. Desactivar la aplicación no basta, advierte Collabora: hay que actualizarla o eliminarla. Los servidores Collabora Online independientes no están afectados.

Qué hacer ahora

1. Compruebe si la aplicación está presente: sudo -u www-data php occ app:list | grep richdocumentscode.
2. Actualícela a 26.4.303 o posterior (occ app:update richdocumentscode) o elimínela (occ app:remove richdocumentscode). En Nextcloud 29 o anterior, ya sin soporte, actualice Nextcloud o retire la aplicación.
3. Busque webshells: find /var/www/nextcloud -name 'shx*.php' y después occ integrity:check-core. Borre cualquier archivo encontrado.
4. Revise los registros del servidor web desde el 10 de septiembre: peticiones al proxy.php de la aplicación desde direcciones desconocidas y procesos extraños bajo www-data.
5. Si había un webshell, considere el servidor comprometido: la cuenta del servidor web puede leer config.php. Cambie la contraseña de la base de datos, los secretos y las contraseñas de administrador, y preferiblemente reconstruya el servidor.

Nuestra opinión

Un complemento opcional instalado con un clic pasa a formar parte de la superficie de ataque de todo Nextcloud. Mantenga un inventario de las aplicaciones que realmente usa, retire las demás y no espere a tener un número de CVE para aplicar una actualización que la comunidad ya presenta como corrección de seguridad.

Fuentes

• Collabora Online — Unauthenticated OS command injection in the richdocumentscode proxy (GHSA-g3vx-3m76-fghh)
• GitHub — richdocumentscode issue #354: Security issue - Hack
• The Hacker News — Hackers Backdoor Nextcloud Servers Through Critical Flaw in Collabora’s Built-in CODE App

Cómo elegimos, verificamos y redactamos nuestros análisis →