Collabora Online CODE Server: CVE-2026-110447 crítica y explotada

Collabora Online CODE Server: CVE-2026-110447 crítica y explotada

Qué es y a quién afectaLa CVE-2026-110447 es una vulnerabilidad de inyección de comandos del sistema operativo (CWE-78) en Collabora Online – Built-in...

Qué es y a quién afecta

La CVE-2026-110447 es una vulnerabilidad de inyección de comandos del sistema operativo (CWE-78) en Collabora Online – Built-in CODE Server, el componente que Collabora distribuye como aplicación de Nextcloud con el nombre richdocumentscode. El fallo permite ejecución remota de código y se manifiesta en proxy.php cuando el servidor CODE no está en marcha, por ejemplo tras un reinicio reciente del producto.

Rack de servidores con una puerta de cristal agrietada por la que se cuela una amenaza hacia el interior

Conviene delimitar el alcance con precisión: según la NVD, están afectadas las versiones anteriores a 26.4.303 de esa aplicación de Nextcloud. Los servidores Collabora Online independientes no presentan la vulnerabilidad; solo queda expuesta esta modalidad de despliegue con CODE Server integrado en Nextcloud. La NVD publicó el registro el 14 de octubre de 2026 y la califica con un CVSS 4.0 de 9.2, gravedad CRITICAL. La NVD señala además que se trata de un fallo distinto de CVE-2025-66208.

En la práctica, esto afecta a pymes, comercios online y equipos de IT pequeños que han montado Nextcloud como nube privada para compartir y editar documentos en oficina, y que han añadido la edición colaborativa instalando esta app. Es un escenario habitual en empresas de Barcelona, Lleida, Tarragona o Girona que buscan alternativas propias a las suites en la nube.

Por qué es urgente

No estamos ante una vulnerabilidad teórica pendiente de confirmación. La NVD indica que ha sido explotada en el mundo real durante septiembre y octubre de 2026, y CISA la incorporó a su catálogo KEV el 23 de octubre de 2026, la lista de fallos que se están aprovechando en ataques reales.

Esa inclusión conlleva una obligación concreta para las agencias federales de Estados Unidos: corregir antes del 26 de octubre de 2026. CISA pide aplicar las mitigaciones siguiendo las instrucciones del fabricante, valorar la exposición a internet de cada activo y, si no hay mitigación disponible, dejar de usar el producto. Aunque ese plazo formal no nos vincule en España, marca la urgencia real: un atacante que logra ejecutar comandos en el servidor puede leer, modificar o borrar datos alojados en esa nube privada, incluidos documentos internos y ficheros de clientes. El material no indica que se haya usado en campañas de ransomware, pero eso no rebaja la gravedad del fallo.

Qué hacer hoy

  • Comprobar si usamos el producto. Revisad si vuestra instancia de Nextcloud tiene instalada la aplicación richdocumentscode y en qué versión. Si el equipo es un Collabora Online independiente, no está afectado por esta CVE.
  • Actualizar sin demora. La NVD sitúa la corrección a partir de la versión 26.4.303. Aplicad lo que indique el aviso oficial del fabricante y sus referencias, y no os quedéis en una versión intermedia por comodidad.
  • Buscar indicios de intrusión. Si la instancia ha estado expuesta y sin actualizar, revisad registros de acceso y actividad anómala en el servidor, sobre todo coincidiendo con reinicios del servicio, que es la ventana en la que se abre el fallo.
  • Reducir la superficie expuesta. Limitar el acceso a la instancia a redes internas o mediante VPN, restringir el panel de administración y revisar qué servicios quedan publicados directamente en internet. Cada puerto abierto sin necesidad es una puerta más.
  • Revisar el resto del stack. Un fallo de este tipo recuerda la importancia de mantener al día Nextcloud, sus aplicaciones y el sistema operativo subyacente, y de tener copias de seguridad verificadas y separadas del servidor.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

Detectar a tiempo un fallo como este exige saber qué tenéis instalado, en qué versión y qué queda expuesto a internet. En ALMC trabajamos con pymes y comercios online que gestionan sus propias webs y servidores, a menudo con un equipo de IT reducido, y ese es justo el perfil más vulnerable a una CVE crítica con explotación confirmada.

Nuestro enfoque pasa por auditar la infraestructura y hacer pentesting para localizar vulnerabilidades antes de que las exploten, endurecer servidores y aplicaciones, y mantener actualizados WordPress, PrestaShop y Joomla junto con el resto del software crítico. A eso sumamos monitorización y respuesta a incidentes, y la reparación de webs hackeadas cuando el problema ya ha ocurrido. Si gestionáis Nextcloud con edición colaborativa, conviene tratarlo como un activo más dentro de ese inventario y de ese plan de parches.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.