Atacantes explotan un fallo de Collabora para instalar puertas traseras en servidores Nextcloud

Atacantes están explotando un fallo de inyección de comandos en Collabora Online - Built-in CODE Server, una aplicación opcional de Nextcloud. La vulnerabilidad, registrada como CVE-2026-110447, afecta a las versiones de richdocumentscode anteriores a la 26.4.303. Collabora afirma que no afecta a los servidores independientes de Collabora Online, las instalaciones de Docker y RPM/DEB ni las implementaciones de Nextcloud All-in-One.

El fallo está en la forma en que la aplicación inicia el servidor de Collabora incluido. Una solicitud maliciosa al punto de acceso proxy.php de la aplicación puede activar una inyección de comandos del sistema operativo. Para explotar el fallo, el servidor CODE integrado debe estar detenido, por ejemplo, tras un reinicio, una actualización o un fallo. No se requiere autenticación ni interacción del usuario.

Varios informes de administradores describen ataques desde el 10 de septiembre. Según esos informes, los atacantes instalaron webshells PHP y buscaron bases de datos de contraseñas, rastros de gestores de contraseñas y carteras de criptomonedas. BleepingComputer no pudo confirmar de forma independiente los informes de que operadores de ransomware también estén explotando el fallo.

Collabora incorporó una corrección el 9 de septiembre y publicó la versión 26.4.303 el 11 de septiembre. El aviso y el CVE se publicaron el 14 de octubre. Nextcloud dijo a BleepingComputer que Collabora comunicó la vulnerabilidad a mediados de septiembre y que había una actualización disponible en la tienda de aplicaciones. Nextcloud afirmó que retrasó la divulgación para dar tiempo a los usuarios a actualizar y porque no había observado una explotación generalizada. Collabora atribuyó el retraso principalmente a la acumulación de casos pendientes en el procesamiento de CVE de GitHub.

Se recomienda a los administradores actualizar a la versión 26.4.303 o posterior, o eliminar la aplicación si no la necesitan. Collabora advirtió que desactivarla no es suficiente.