CVE-2026-110447 Nextcloud Collabora: actualizar o retirar

Qué corrige richdocumentscode 26.4.303

Lo que se sabe de la explotación

• Condición del ataque — el aviso precisa que el ataque solo funciona mientras el servidor CODE integrado no está en ejecución: reinicio de contenedor, actualización, caída. No se requiere autenticación ni interacción.
• Inicio de los ataques — los administradores informan de los primeros ataques el 10 y el 11 de septiembre de 2026 contra la versión 26.4.302. BleepingComputer habla de mediados de septiembre; las fuentes difieren en unos días y no zanjamos la cuestión.
• Incluida en el catálogo KEV — la CISA añadió CVE-2026-110447 a su catálogo de vulnerabilidades explotadas el 23 de octubre de 2026, con un plazo federal al 26 de octubre. La explotación es observada, no teórica.
• Qué buscaron los atacantes — webshells PHP depositadas en el servidor y, después, bases de contraseñas, gestores de contraseñas y carteras de criptomonedas.
• Ransomware: no confirmado — usuarios lo mencionaron en la incidencia del proyecto; BleepingComputer no pudo confirmarlo. Lo recogemos como un rumor, nada más.
• Número de servidores afectados — desconocido. Ninguna fuente primaria da una cifra.

Versiones afectadas, versiones corregidas y configuraciones no afectadas

Desplace la tabla

CODE integrado o servidor externo: cómo distinguirlos

Inventariar un servidor y luego una flota, en cinco pasos

1. 01

   Listar las aplicaciones instaladas

   Desde el directorio de Nextcloud, o dentro del contenedor, ejecute sudo -E -u www-data php occ app:list | grep richdocumentscode. Adapte el usuario y la ruta a su instalación. Una línea en la salida indica que la aplicación está presente, activada (Enabled) o no (Disabled).

2. 02

   Leer la versión instalada

   Ejecute sudo -E -u www-data php occ config:app:get richdocumentscode installed_version. Si el número es inferior a 26.4.303, la instalación entra en el rango del aviso.

3. 03

   Mirar qué usa Nextcloud Office

   Abra los ajustes de Nextcloud Office y anote la URL del servidor Collabora. No sustituye al paso 1: la presencia de la aplicación prevalece sobre la dirección mostrada.

4. 04

   Contrastar con las actualizaciones disponibles

   sudo -E -u www-data php occ app:update --showonly lista las actualizaciones de aplicaciones ofrecidas sin aplicarlas. Compruebe si richdocumentscode aparece.

5. 05

   Repetir en cada servidor y registrar el resultado

   En una flota, pase los mismos tres comandos por SSH en cada instancia de cliente y pegue las salidas en una tabla: cliente, servidor, aplicación presente, versión, fecha de control. Esa tabla le permitirá responder a un cliente que pregunte si está afectado.

Desactivar no basta: actualizar o eliminar

Corregir: actualización o eliminación

1. 06

   Hacer una copia antes de actuar

   Tome una instantánea de la máquina o una copia de la base de datos y del directorio de datos. Si ya sospecha una intrusión, conserve también una copia de los registros antes de modificar nada: servirán para la búsqueda de huellas más abajo.

2. 07

   Actualizar la aplicación

   sudo -E -u www-data php occ app:update richdocumentscode. Ejecute después de nuevo occ config:app:get richdocumentscode installed_version para confirmar que el número es 26.4.303 o superior.

3. 08

   O eliminar la aplicación

   sudo -E -u www-data php occ app:remove richdocumentscode. El comando desactiva y luego retira la aplicación; la opción --keep-data conserva sus datos. Confirme con occ app:list, que ya no debe mencionarla.

4. 09

   Reiniciar el servicio afectado

   Reinicie PHP-FPM o el contenedor de Nextcloud para que ningún proceso conserve el código antiguo en memoria. Recuerde que la condición de explotación es precisamente un reinicio o una caída del servidor integrado.

5. 10

   Comprobar el resultado

   Repita el inventario de la sección anterior: la aplicación debe estar ausente o en la versión 26.4.303 como mínimo. Anote la fecha y la hora de la corrección; servirán de límite en la búsqueda de huellas.

Un servidor actualizado hoy pudo ser comprometido antes

Método de búsqueda de huellas (genérico, a adaptar)

• Archivos PHP recientes — find /var/www/nextcloud/apps/richdocumentscode -name '*.php' -newermt 2026-09-01 lista los archivos PHP modificados desde el 1 de septiembre en el directorio de la aplicación. Haga lo mismo en el directorio de datos, donde ningún archivo PHP tiene motivo para existir.
• Nombres notificados — administradores encontraron archivos shx*.php en el directorio de Nextcloud (incidencia #354); otro encontró un archivo de nombre distinto en apps/richdocumentscode/. Buscar shx*.php es útil, pero la ausencia de ese nombre no prueba nada: los atacantes pueden elegir otro.
• Comparación con el archivo oficial — descargue la versión de la aplicación del catálogo oficial, descomprímala en un directorio temporal y compare con diff -r. Todo archivo adicional o distinto es sospechoso.
• Control de integridad de Nextcloud — un administrador descubrió su archivo malicioso porque el control de integridad lo señaló. Ejecútelo y lea el resultado.
• Registros del servidor web — zgrep -hE 'proxy\.php.*(%2e%2e|IFS)' /var/log/nginx/access.log* busca peticiones a proxy.php que lleven una secuencia %2e%2e o la variable de shell IFS. Las peticiones notificadas en la incidencia apuntaban a /apps/richdocumentscode/proxy.php?status; un administrador del foro aconseja remontarse hasta el 10 de septiembre. Adapte la ruta a Apache o a su rotación de registros.
• Procesos extraños — administradores observaron procesos coolwsd y coolforkit-ns bajo el usuario del servidor web con una carga en el argumento remote_font_config.url. Esos procesos también existen legítimamente cuando el servidor integrado funciona; lo anómalo es el contenido del argumento.

Una flota de Nextcloud de clientes: quién asume qué

La defensa duradera: un Collabora separado de Nextcloud

La documentación oficial