CISA añadió CVE-2026-110447 a su catálogo KEV (Known Exploited Vulnerabilities) el 23 de octubre de 2026, basándose en evidencia de explotación activa. El fallo afecta a la aplicación opcional de Nextcloud richdocumentscode en versiones anteriores a 26.4.303. El 26 de octubre es la fecha límite fijada por CISA para las agencias del Federal Civilian Executive Branch de Estados Unidos, no para todos los operadores.
CISA anima al resto de organizaciones a priorizar las vulnerabilidades incluidas en KEV. Para el contexto previo sobre los CVE de Nextcloud y la explotación relacionada con Collabora, consulta la cobertura anterior de NeoTeo.
Qué instalaciones de Nextcloud están afectadas
CVE-2026-110447 es una vulnerabilidad de inyección de comandos del sistema operativo sin autenticación. Una solicitud a proxy.php puede ejecutar comandos con los permisos del usuario del servidor web cuando el servidor CODE integrado no está en funcionamiento, por ejemplo, durante un reinicio, una actualización o tras un fallo. Collabora califica el problema como crítico y le asigna una puntuación CVSS 4.0 de 9,2.
El umbral vulnerable corresponde a la versión de richdocumentscode, no a una versión concreta de Nextcloud. Collabora indica que las versiones anteriores a 26.4.303 están afectadas. También señala que los servidores independientes de Collabora Online no lo están. Para revisar el alcance y la solución, consulta el aviso de seguridad de Collabora.
Actualizar o retirar la aplicación
Desactivar richdocumentscode no basta: Collabora recomienda actualizarla a la versión 26.4.303 o posterior, o retirar la aplicación. Para las instalaciones con Nextcloud 29 o anterior, recomienda actualizar Nextcloud o eliminar la app.
Qué indicios revisar en el servidor
ACN / CSIRT Italia informó el 16 de octubre de un servidor Nextcloud comprometido en Italia. En ese caso, el atacante instaló tres web shells, archivos que permiten ejecutar comandos en un servidor, y robó un archivo de configuración con credenciales de la base de datos y del buzón de correo de servicio, además de secretos de aplicaciones.
CERT Polska afirmó el 20 de octubre que la vulnerabilidad se estaba utilizando en ataques de ransomware. En la observación del catálogo de CISA del 24 de octubre, el campo de uso conocido de ransomware figuraba como «Unknown».
Para una revisión inicial, CERT Polska recomienda comprobar tres señales: archivos shx*.php en apps/richdocumentscode; solicitudes a proxy.php?status que contengan %2e%2e, $( o ${IFS}; e intentos de ejecutar sudo desde la cuenta del servidor web. El aviso de CERT Polska detalla esos indicadores.
