CSIRT Bolivia alerta por CVE-2026-110447 en Nextcloud

El CSIRT de Bolivia publicó un aviso por CVE-2026-110447, una vulnerabilidad crítica de inyección de comandos en Collabora Online Built-in CODE Server para Nextcloud, asociada a la aplicación richdocumentscode. Afecta versiones anteriores a 26.4.303 y, según el aviso, podría permitir ejecución de comandos mediante una solicitud HTTP manipulada a proxy.php cuando el servidor CODE no está en ejecución.

¿A quién alcanza la falla?

La vulnerabilidad alcanza solo a la aplicación de Nextcloud Collabora Online, Built-in CODE Server, también identificada como richdocumentscode, de acuerdo con el aviso oficial de Collabora. El mismo comunicado aclara que las instalaciones independientes de Collabora Online no están afectadas por este problema.

Ese alcance es relevante para organizaciones que usan Nextcloud con el servidor CODE integrado, especialmente si exponen esas instancias a Internet, como señaló el CSIRT boliviano en su advertencia. No hay en el material una lista de sectores o entornos comprometidos, pero sí una precisión técnica sobre qué despliegues quedan dentro y fuera del riesgo.

¿Qué dice Collabora sobre la corrección?

Collabora indicó que deshabilitar la aplicación no alcanza para corregir la falla. La medida que corresponde, según su aviso, es actualizar a la versión 26.4.303 o posterior, o eliminar la aplicación.

El registro CVE agrega otro dato clave. La vulnerabilidad habría sido explotada activamente durante septiembre y octubre de 2026, y el escenario vulnerable aparece cuando el servidor CODE no está en ejecución, por ejemplo después de un reinicio.

¿Qué información técnica trascendió?

Un análisis técnico publicado por dbugs sostuvo que proxy.php incorpora texto de la solicitud en un comando Bash entre comillas dobles. Según ese reporte, eso permitiría insertar una secuencia $(...) en la ruta y ejecutar comandos sin autenticación.

Ese mismo análisis afirmó que se observaron web shells PHP y extracción de archivos sensibles. Esa parte queda atribuida al trabajo técnico de dbugs, que describe el comportamiento observado durante la explotación.

También hubo cobertura periodística que apuntó a explotación en curso. BleepingComputer informó que actores estaban aprovechando la falla para comprometer servidores Nextcloud, y citó a Collabora para remarcar que Nextcloud All-in-One, las instalaciones Docker o RPM/DEB y los servidores Collabora independientes no estarían afectados. SC Media, por su parte, dijo que Collabora corrigió la vulnerabilidad el 11 de septiembre con la versión 26.4.303 y publicó el aviso el 14 de octubre, además de reiterar que deshabilitar la aplicación no es una mitigación suficiente.