Collabora publicó el 14 de octubre de 2026 un aviso sobre CVE-2026-110447, una vulnerabilidad crítica que afecta a la aplicación opcional Collabora Online - Built-in CODE Server de Nextcloud, identificada como richdocumentscode. Las versiones anteriores a 26.4.303 están afectadas y desactivar la aplicación no basta para corregir el problema, según el aviso de seguridad de Collabora.
Qué instalaciones están afectadas
La vulnerabilidad permite que una petición sin autenticación ejecute un comando del sistema operativo como usuario del servidor web cuando el servidor Built-in CODE no está en funcionamiento. Puede ocurrir, por ejemplo, durante un reinicio o una actualización, o después de un fallo. Collabora clasifica el problema como crítico.
El fallo corresponde a richdocumentscode, la aplicación opcional que aparece en Nextcloud como Collabora Online - Built-in CODE Server. Collabora indica que los servidores independientes de Collabora Online no están afectados por esta vulnerabilidad.
Cómo corregirla
Collabora recomienda actualizar richdocumentscode a la versión 26.4.303 o posterior, o eliminar la aplicación. Desactivarla no elimina el problema. El registro de lanzamiento de la versión 26.4.303 la fecha el 11 de septiembre de 2026, a las 13:43 GMT.
Para instalaciones con Nextcloud 29 o anterior, Collabora recomienda actualizar Nextcloud o retirar la aplicación.
Ataques comunicados y fechas clave
The Hacker News informó el 14 de octubre de que varios administradores habían registrado actividad de ataque desde el 10 de septiembre de 2026. Su artículo recoge relatos de tres administradores que dijeron haber sufrido una intrusión; el recuento corresponde a esos testimonios, no a una cifra total de servidores.
La actividad descrita comenzó antes del lanzamiento de la versión corregida, el 11 de septiembre. Collabora publicó su aviso sobre la vulnerabilidad el 14 de octubre de 2026.
