CISA incorporó CVE-2026-110447 al catálogo de vulnerabilidades explotadas conocidas (KEV) el 23 de octubre de 2026, tras identificar indicios de explotación activa. El fallo afecta a la aplicación integrada richdocumentscode de Nextcloud en versiones anteriores a 26.4.303; desactivarla no basta para proteger el servidor.

Qué componente está afectado

CVE-2026-110447 permite ejecutar comandos del sistema operativo sin autenticación a través de proxy.php de Collabora Online - Built-in CODE Server, la aplicación de Nextcloud identificada como richdocumentscode. Según el aviso de seguridad de Collabora, el problema puede explotarse cuando el servidor CODE integrado está detenido, por ejemplo, durante un reinicio, una actualización o un fallo. Los comandos se ejecutarían con los permisos de la cuenta del servidor web.

El límite de versión corresponde a la aplicación, no a Nextcloud: están afectadas las versiones de richdocumentscode anteriores a 26.4.303, que Collabora identifica como corregida.

Cómo responder si tienes la aplicación instalada

Collabora recomienda actualizar richdocumentscode a la versión 26.4.303 o posterior, o eliminar la aplicación. Desactivarla no elimina el proxy.php vulnerable. En instalaciones con Nextcloud 29 o anterior, Collabora indica actualizar Nextcloud o retirar la app, porque esas versiones no pueden instalar la versión corregida.

Qué instalaciones quedan fuera del alcance

Los servidores independientes de Collabora Online no están afectados por este fallo concreto. CERT Polska también excluye Nextcloud Office (richdocuments) cuando se conecta a un servidor Collabora externo.

Collabora distingue CVE-2026-110447 de CVE-2025-66208: corregir el fallo anterior no protege frente a este. NeoTeo ya explicó la diferencia entre ambos CVE de Nextcloud.

A quién se aplica la directiva de CISA

El plazo del 26 de octubre de 2026 que fija la directiva BOD 26-04 se aplica a las agencias del Federal Civilian Executive Branch (FCEB) de Estados Unidos. La directiva prioriza las vulnerabilidades incluidas en KEV que afectan a activos expuestos públicamente y pueden dar control total tras la explotación; también establece comprobaciones básicas para detectar un posible compromiso antes de parchear y aplaza las vulnerabilidades de menor riesgo. CISA anima a las demás organizaciones a priorizar las vulnerabilidades de KEV. La agencia anunció la inclusión de este CVE en su alerta del 23 de octubre.

Qué indicios recomienda revisar CERT Polska

En un aviso publicado el 20 de octubre, CERT Polska informó de que la vulnerabilidad se utilizaba en ataques de ransomware y en intentos de tomar el control de servidores. Para investigar una posible intrusión, recomienda buscar:

  • Archivos shx*.php en apps/richdocumentscode.
  • Solicitudes en los registros de acceso a proxy.php?status que contengan %2e%2e, $( o ${IFS}.
  • Intentos de ejecutar sudo desde la cuenta del servidor web.

CERT Polska presenta estas señales como indicios para investigar, no como prueba de que un servidor esté comprometido. Sus recomendaciones de seguridad detallan las comprobaciones.