[{"data":1,"prerenderedAt":211},["ShallowReactive",2],{"seo-verification":3,"blog-cve-2026-110447-nextcloud-collabora-actualizar-o-retirar-es":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-cve-2026-110447-nextcloud-collabora-actualizar-o-retirar-es",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":33,"intro":36,"sections":37,"ctaTitle":151,"ctaBody":152,"ctaButton":153,"ctaUrl":154,"relatedPosts":155},509,"cve-2026-110447-nextcloud-collabora-actualizar-o-retirar",{"fr":12,"en":13,"ar":14,"es":10},"nextcloud-collabora-cve-2026-110447-mettre-a-jour","cve-2026-110447-nextcloud-collabora-update-or-remove-the-app","ثغرة-cve-2026-110447-في-nextcloud-وcollabora-حدث-أو-احذف","CVE-2026-110447 Nextcloud Collabora: actualizar o retirar","CVE-2026-110447: la aplicación richdocumentscode permite ejecutar comandos sin autenticación. Versiones afectadas, inventario, corrección y búsqueda de huellas.",10,0,false,"2026-10-27T00:00:00+00:00","2026-10-27T23:58:39+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},8,"Seguridad y monitorización","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fnextcloud-collabora-cve-2026-110447-mettre-a-jour-poster.svg",{"categorySlug":34,"appSlug":35},"colaboracion-productividad","nextcloud","Se está explotando una vulnerabilidad crítica en el servidor Collabora integrado de Nextcloud, y los ataques empezaron aproximadamente un mes antes de la publicación del aviso. Si su instancia, o las de sus clientes, incluye la aplicación `richdocumentscode`, actualizarla no basta: un servidor parcheado hoy pudo ser comprometido antes. Esta guía da los comandos para saber si le afecta, corregir por actualización o eliminación, verificar el resultado y buscar después las huellas de una intrusión que ya haya podido ocurrir.",[38,42,52,84,87,106,108,126,129,138,142,145,148],{"type":39,"title":40,"body":41},"h2","Qué corrige richdocumentscode 26.4.303","CVE-2026-110447 es una inyección de comandos del sistema sin autenticación, clasificada CWE-78 y puntuada con 9,2 en CVSS 4.0 por el aviso de Collabora. Afecta a una sola aplicación: Collabora Online - Built-in CODE Server, identificador `richdocumentscode`, un módulo **opcional** de Nextcloud que integra un servidor Collabora dentro de la propia aplicación. El punto de entrada es el archivo `proxy.php` de la aplicación. El aviso indica que una petición puede hacer ejecutar un comando del sistema con los derechos del usuario del servidor web.\n\nLa corrección es la versión 26.4.303: el commit data del 9 de septiembre de 2026 y la versión está disponible desde el 11 de septiembre de 2026. El aviso, en cambio, solo se publicó el 14 de octubre de 2026, más de un mes después. Collabora atribuye el retraso a la saturación del procesamiento de CVE en GitHub. Consecuencia práctica: un servidor que se quedó atrás pudo ser atacado mucho antes de que existiera el identificador. Este artículo parte de ese hecho y trata por eso dos cuestiones, no una: la corrección y la búsqueda de huellas.",{"type":43,"title":44,"items":45},"ul","Lo que se sabe de la explotación",[46,47,48,49,50,51],"**Condición del ataque** — el aviso precisa que el ataque solo funciona mientras el servidor CODE integrado no está en ejecución: reinicio de contenedor, actualización, caída. No se requiere autenticación ni interacción.","**Inicio de los ataques** — los administradores informan de los primeros ataques el 10 y el 11 de septiembre de 2026 contra la versión 26.4.302. BleepingComputer habla de mediados de septiembre; las fuentes difieren en unos días y no zanjamos la cuestión.","**Incluida en el catálogo KEV** — la CISA añadió CVE-2026-110447 a su catálogo de vulnerabilidades explotadas el 23 de octubre de 2026, con un plazo federal al 26 de octubre. La explotación es observada, no teórica.","**Qué buscaron los atacantes** — webshells PHP depositadas en el servidor y, después, bases de contraseñas, gestores de contraseñas y carteras de criptomonedas.","**Ransomware: no confirmado** — usuarios lo mencionaron en la incidencia del proyecto; BleepingComputer no pudo confirmarlo. Lo recogemos como un rumor, nada más.","**Número de servidores afectados** — desconocido. Ninguna fuente primaria da una cifra.",{"type":53,"title":54,"headers":55,"rows":59},"comparison","Versiones afectadas, versiones corregidas y configuraciones no afectadas",[56,57,58],"Configuración","Estado","Acción",[60,64,68,72,76,78,80],[61,62,63],"Aplicación `richdocumentscode` anterior a 26.4.303","Vulnerable","Actualizar a 26.4.303 o posterior, o eliminar la aplicación",[65,66,67],"Aplicación `richdocumentscode` en 26.4.303 o posterior","Corregida","Buscar igualmente huellas anteriores a la actualización",[69,70,71],"Aplicación `richdocumentscode` simplemente desactivada","No protegida","Desactivar no basta: actualizar o eliminar",[73,74,75],"Servidor Collabora Online autónomo","No afectado, según Collabora","Ninguna acción ligada a esta CVE",[77,74,75],"Collabora en Docker o como paquete RPM\u002FDEB",[79,74,75],"Nextcloud All-in-One",[81,82,83],"Nextcloud 29 o anterior","Fin de vida","Actualizar Nextcloud, o eliminar la aplicación",{"type":39,"title":85,"body":86},"CODE integrado o servidor externo: cómo distinguirlos","Muchos administradores no saben cuál de los dos usan, porque la aplicación Nextcloud Office muestra el mismo editor en ambos casos. La diferencia se lee en otro sitio. El servidor Collabora «externo» es un servicio aparte (contenedor, paquete, máquina dedicada) al que Nextcloud se conecta mediante una URL indicada en los ajustes de Nextcloud Office. El servidor «integrado» es una aplicación Nextcloud más, `richdocumentscode`, que descarga y lanza un servidor local.\n\nEl criterio fiable es, por tanto, la presencia de la aplicación, no la dirección que aparece en los ajustes. Si `richdocumentscode` está instalada, está dentro del perímetro del aviso, esté activada o no. Si no está, esta CVE no le afecta, aunque use Collabora. Un participante del foro de Nextcloud señala además que las instalaciones que usan `richdocuments` sin `richdocumentscode` no están afectadas.",{"type":88,"title":89,"steps":90},"steps","Inventariar un servidor y luego una flota, en cinco pasos",[91,94,97,100,103],{"title":92,"body":93},"Listar las aplicaciones instaladas","Desde el directorio de Nextcloud, o dentro del contenedor, ejecute `sudo -E -u www-data php occ app:list | grep richdocumentscode`. Adapte el usuario y la ruta a su instalación. Una línea en la salida indica que la aplicación está presente, activada (`Enabled`) o no (`Disabled`).",{"title":95,"body":96},"Leer la versión instalada","Ejecute `sudo -E -u www-data php occ config:app:get richdocumentscode installed_version`. Si el número es inferior a 26.4.303, la instalación entra en el rango del aviso.",{"title":98,"body":99},"Mirar qué usa Nextcloud Office","Abra los ajustes de Nextcloud Office y anote la URL del servidor Collabora. No sustituye al paso 1: la presencia de la aplicación prevalece sobre la dirección mostrada.",{"title":101,"body":102},"Contrastar con las actualizaciones disponibles","`sudo -E -u www-data php occ app:update --showonly` lista las actualizaciones de aplicaciones ofrecidas sin aplicarlas. Compruebe si `richdocumentscode` aparece.",{"title":104,"body":105},"Repetir en cada servidor y registrar el resultado","En una flota, pase los mismos tres comandos por SSH en cada instancia de cliente y pegue las salidas en una tabla: cliente, servidor, aplicación presente, versión, fecha de control. Esa tabla le permitirá responder a un cliente que pregunte si está afectado.",{"type":39,"title":71,"body":107},"El reflejo es desactivar la aplicación mientras tanto. El aviso de Collabora es inequívoco: no basta con desactivar la aplicación, debe actualizarse a 26.4.303 o posterior, o eliminarse. El archivo vulnerable permanece en disco mientras la aplicación no se retire, y el aviso no dice que un archivo desactivado pase a ser inalcanzable.\n\nElija según el uso. Si sus usuarios editan documentos con el servidor integrado, actualice. Si no lo usa, o si tiene un servidor Collabora externo, elimine la aplicación: es la única opción que retira la superficie de ataque. Si su Nextcloud es de la versión 29 o anterior, ya no tiene mantenimiento: el aviso pide actualizar el propio Nextcloud, o eliminar la aplicación.",{"type":88,"title":109,"steps":110},"Corregir: actualización o eliminación",[111,114,117,120,123],{"title":112,"body":113},"Hacer una copia antes de actuar","Tome una instantánea de la máquina o una copia de la base de datos y del directorio de datos. Si ya sospecha una intrusión, conserve también una copia de los registros antes de modificar nada: servirán para la búsqueda de huellas más abajo.",{"title":115,"body":116},"Actualizar la aplicación","`sudo -E -u www-data php occ app:update richdocumentscode`. Ejecute después de nuevo `occ config:app:get richdocumentscode installed_version` para confirmar que el número es 26.4.303 o superior.",{"title":118,"body":119},"O eliminar la aplicación","`sudo -E -u www-data php occ app:remove richdocumentscode`. El comando desactiva y luego retira la aplicación; la opción `--keep-data` conserva sus datos. Confirme con `occ app:list`, que ya no debe mencionarla.",{"title":121,"body":122},"Reiniciar el servicio afectado","Reinicie PHP-FPM o el contenedor de Nextcloud para que ningún proceso conserve el código antiguo en memoria. Recuerde que la condición de explotación es precisamente un reinicio o una caída del servidor integrado.",{"title":124,"body":125},"Comprobar el resultado","Repita el inventario de la sección anterior: la aplicación debe estar ausente o en la versión 26.4.303 como mínimo. Anote la fecha y la hora de la corrección; servirán de límite en la búsqueda de huellas.",{"type":39,"title":127,"body":128},"Un servidor actualizado hoy pudo ser comprometido antes","La actualización cierra la puerta, pero no dice nada de lo que ya entró. Los primeros ataques notificados datan del 10 de septiembre de 2026, y un administrador comunicó en el foro de Nextcloud que un archivo malicioso había permanecido tras la actualización. Un servidor al día no es, por tanto, un servidor sano.\n\nEl aviso oficial no enumera ningún indicador de compromiso. Lo que sigue no es una lista oficial de indicadores: es un método de búsqueda genérico, junto con lo que los administradores notificaron en la incidencia richdocumentscode#354 del repositorio del proyecto. Una regla de sentido común vale para todo: ninguna de estas comprobaciones demuestra la ausencia de compromiso; solo pueden revelar uno.",{"type":43,"title":130,"items":131},"Método de búsqueda de huellas (genérico, a adaptar)",[132,133,134,135,136,137],"**Archivos PHP recientes** — `find \u002Fvar\u002Fwww\u002Fnextcloud\u002Fapps\u002Frichdocumentscode -name '*.php' -newermt 2026-09-01` lista los archivos PHP modificados desde el 1 de septiembre en el directorio de la aplicación. Haga lo mismo en el directorio de datos, donde ningún archivo PHP tiene motivo para existir.","**Nombres notificados** — administradores encontraron archivos `shx*.php` en el directorio de Nextcloud (incidencia #354); otro encontró un archivo de nombre distinto en `apps\u002Frichdocumentscode\u002F`. Buscar `shx*.php` es útil, pero la ausencia de ese nombre no prueba nada: los atacantes pueden elegir otro.","**Comparación con el archivo oficial** — descargue la versión de la aplicación del catálogo oficial, descomprímala en un directorio temporal y compare con `diff -r`. Todo archivo adicional o distinto es sospechoso.","**Control de integridad de Nextcloud** — un administrador descubrió su archivo malicioso porque el control de integridad lo señaló. Ejecútelo y lea el resultado.","**Registros del servidor web** — `zgrep -hE 'proxy\\.php.*(%2e%2e|IFS)' \u002Fvar\u002Flog\u002Fnginx\u002Faccess.log*` busca peticiones a `proxy.php` que lleven una secuencia `%2e%2e` o la variable de shell IFS. Las peticiones notificadas en la incidencia apuntaban a `\u002Fapps\u002Frichdocumentscode\u002Fproxy.php?status`; un administrador del foro aconseja remontarse hasta el 10 de septiembre. Adapte la ruta a Apache o a su rotación de registros.","**Procesos extraños** — administradores observaron procesos `coolwsd` y `coolforkit-ns` bajo el usuario del servidor web con una carga en el argumento `remote_font_config.url`. Esos procesos también existen legítimamente cuando el servidor integrado funciona; lo anómalo es el contenido del argumento.",{"type":139,"title":140,"body":141},"tip","Si encuentra algo: la máquina está comprometida","Una webshell ejecuta comandos con los derechos del usuario del servidor web. Considere expuesto todo lo que ese usuario pueda leer: el `config.php` de Nextcloud (credenciales de la base de datos, secretos), contraseñas de aplicación, claves SSH y tokens legibles por él, almacenamientos externos montados. Rote esos secretos y restaure desde una copia anterior al 10 de septiembre de 2026 en lugar de «limpiar» la máquina in situ. Si es de un cliente, avíselo: es su contenido el que ha quedado expuesto.",{"type":39,"title":143,"body":144},"Una flota de Nextcloud de clientes: quién asume qué","Para una agencia, esta CVE no es un comando, es un inventario. Cada cliente tiene su instancia, su versión y, a veces, una aplicación instalada «para probar» hace dos años. La pregunta de un cliente es previsible: «¿estamos afectados y lo han comprobado?». La respuesta honesta está en la tabla del paso 5 del inventario, con las fechas de control.\n\nLa responsabilidad se reparte de forma sencilla: usted gestiona la relación con el cliente y decide la acción (actualizar, eliminar, restaurar); nosotros mantenemos la infraestructura sobre la que funcionan esos servidores. Con las \u003Ca href=\"\u002Fsolutions\u002Fagences\">soluciones para agencias\u003C\u002Fa> de ServOrbit.com, un único espacio reúne los servidores, las renovaciones y la seguridad de cada cliente, lo que evita reconstruir la flota desde hojas de cálculo el día de una alerta. Si es un profesional que administra una sola instancia, la página de \u003Ca href=\"\u002Fsolutions\u002Fprofessionnels\">soluciones para profesionales\u003C\u002Fa> describe el acompañamiento que le conviene.",{"type":39,"title":146,"body":147},"La defensa duradera: un Collabora separado de Nextcloud","Según Collabora, los servidores Collabora Online autónomos, las instalaciones Docker y RPM\u002FDEB y Nextcloud All-in-One no están afectados. El punto en común es que el servidor de edición vive en su propio contenedor o servicio, fuera del árbol PHP de Nextcloud. Es la arquitectura «sidecar» descrita en nuestra guía \u003Ca href=\"\u002Fblog\u002Fnextcloud-collabora-onlyoffice-office-2021-eol\">Nextcloud, Collabora y OnlyOffice\u003C\u002Fa>: aquí no se repite el tutorial. Para empezar desde cero, \u003Ca href=\"\u002Fblog\u002Fheberger-nextcloud\">alojar Nextcloud\u003C\u002Fa> cubre el despliegue.\n\nNo es un argumento contra la aplicación integrada en sí, solo una manera de reducir lo que hay que vigilar. También hemos publicado otras dos guías de actualización de urgencia, \u003Ca href=\"\u002Fblog\u002Fphp2shell-cve-2026-109618-109619-mettre-a-jour-php\">PHP2Shell\u003C\u002Fa> y \u003Ca href=\"\u002Fblog\u002Fnginx-cve-2026-15176-mettre-a-jour\">nginx CVE-2026-15176\u003C\u002Fa>: el método es el mismo, inventariar, corregir, verificar y después buscar lo que pudo pasar antes.",{"type":39,"title":149,"body":150},"La documentación oficial","\u003Ca href=\"https:\u002F\u002Fgithub.com\u002FCollaboraOnline\u002Fonline\u002Fsecurity\u002Fadvisories\u002FGHSA-g3vx-3m76-fghh\">Collabora: aviso GHSA-g3vx-3m76-fghh\u003C\u002Fa>\n\u003Ca href=\"https:\u002F\u002Fgithub.com\u002FCollaboraOnline\u002Frichdocumentscode\u002Fissues\u002F354\">richdocumentscode, incidencia #354\u003C\u002Fa>\n\u003Ca href=\"https:\u002F\u002Fwww.collaboraonline.com\u002Fblog\u002Fstay-safe-upgrade-everything-regularly\u002F\">Collabora: entrada del 15 de octubre de 2026\u003C\u002Fa>\n\u003Ca href=\"https:\u002F\u002Fhelp.nextcloud.com\u002Ft\u002Fto-collabora-built-in-user-update-asap\u002F250516\">Foro de Nextcloud: actualización del servidor CODE integrado\u003C\u002Fa>\n\u003Ca href=\"https:\u002F\u002Fwww.bleepingcomputer.com\u002Fnews\u002Fsecurity\u002Fhackers-exploit-collabora-rce-flaw-to-backdoor-nextcloud-servers\u002F\">BleepingComputer: cronología de los ataques\u003C\u002Fa>\n\u003Ca href=\"https:\u002F\u002Fdocs.nextcloud.com\u002Fserver\u002Flatest\u002Fadmin_manual\u002Focc_apps.html\">Nextcloud: comandos occ para aplicaciones\u003C\u002Fa>","Una flota de Nextcloud de clientes bajo control","Usted conserva la relación con cada cliente; ServOrbit.com mantiene la infraestructura. Un único espacio para ver los servidores, las renovaciones y la seguridad de cada cliente, en lugar de un inventario reconstruido con prisas.","Descubrir la oferta para agencias","\u002Fsolutions\u002Fagences",[156,177,195],{"id":157,"slug":158,"slugs":159,"title":163,"excerpt":164,"readTime":17,"views":18,"isPinned":19,"publishedAt":165,"updatedAt":166,"category":167,"categories":173,"featuredImage":30,"bgImage":31,"posterImage":175,"relatedSolution":176},441,"office-2021-eol-collabora-online-o-onlyoffice-vps",{"fr":160,"en":161,"ar":162,"es":158},"nextcloud-collabora-onlyoffice-office-2021-eol","office-2021-eol-collabora-online-or-onlyoffice-vps","office-2021-eol-collabora-online-ou-onlyoffice","Office 2021 EOL: Collabora Online u OnlyOffice en VPS","Office 2021 ya no recibe parches de seguridad desde el 13 de octubre de 2026. Despliega Collabora Online o OnlyOffice como sidecar de Nextcloud en tu VPS.","2026-10-14T00:00:00+00:00","2026-10-14T23:33:30+00:00",{"id":168,"name":169,"slug":170,"color":171,"icon":172},7,"Autoalojamiento","self-hosting","bg-indigo-500\u002F10 text-indigo-400","cloud",[174],{"id":168,"name":169,"slug":170,"color":171,"icon":172},"\u002Fblog\u002Fcovers\u002Fnextcloud-collabora-onlyoffice-office-2021-eol-poster.svg",{"categorySlug":34,"appSlug":35},{"id":178,"slug":179,"slugs":180,"title":184,"excerpt":185,"readTime":186,"views":187,"isPinned":19,"publishedAt":188,"updatedAt":189,"category":190,"categories":191,"featuredImage":30,"bgImage":31,"posterImage":193,"relatedSolution":194},71,"alojar-nextcloud-en-su-propio-vps",{"fr":181,"en":182,"ar":183,"es":179},"heberger-nextcloud","hosting-nextcloud-on-your-own-vps","استضافة-nextcloud-على-خادمك-الـvps-الخاص","Alojar Nextcloud en VPS: guía NC 35, PHP 8.3 y MariaDB 11","Aloje Nextcloud en un VPS: Docker Compose, Redis, copia MariaDB, subidas de más de 40 GB tras Cloudflare y una alternativa a Office 2021.",20,1,"2026-04-10T00:00:00+00:00","2026-10-23T13:27:09+00:00",{"id":168,"name":169,"slug":170,"color":171,"icon":172},[192],{"id":168,"name":169,"slug":170,"color":171,"icon":172},"\u002Fblog\u002Fcovers\u002Fheberger-nextcloud-poster.svg",{"categorySlug":170,"appSlug":35},{"id":196,"slug":197,"slugs":198,"title":202,"excerpt":203,"readTime":204,"views":187,"isPinned":19,"publishedAt":205,"updatedAt":206,"category":207,"categories":208,"featuredImage":30,"bgImage":31,"posterImage":210,"relatedSolution":30},489,"php2shell-cve-2026-109618-109619-actualizar-php",{"fr":199,"en":200,"ar":201,"es":197},"php2shell-cve-2026-109618-109619-mettre-a-jour-php","php2shell-cve-2026-109618-109619-patch-php","php2shell-cve-2026-109618-109619-تحديث-php","PHP2Shell: cómo corregir CVE-2026-109618 y CVE-2026-109619","PHP2Shell: dos fallos críticos de PHP explotables sin cuenta. Versiones corregidas, comandos de actualización por sistema y medidas temporales.",16,"2026-10-22T00:00:00+00:00","2026-10-27T23:58:43+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[209],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fphp2shell-cve-2026-109618-109619-mettre-a-jour-php-poster.svg",1793146092834]