En una entrada publicada el 15 de octubre de 2026, Collabora atribuyó la demora del aviso formal de CVE-2026-110447 al atasco en el procesamiento de CVE en GitHub: dijo que un trámite que solía rondar un día podía alargarse muchas semanas. La vulnerabilidad afecta a la app opcional richdocumentscode de Nextcloud; Collabora recomienda actualizarla a 26.4.303 o posterior, o eliminarla. En su blog, la empresa también dijo que solicitaba convertirse en una autoridad de numeración CVE (CNA) para presentar estos identificadores directamente.
Collabora afirmó que, durante 2026, su equipo había revisado, tramitado, corregido y publicado un volumen de informes de seguridad equivalente a unos diez años de trabajo. Por separado, BleepingComputer informó que Nextcloud explicó la demora diciendo que había querido dar tiempo a los administradores para actualizar y que no había observado una explotación generalizada.
De la corrección al aviso formal
BleepingComputer situó el compromiso de la corrección el 9 de septiembre de 2026 y el lanzamiento de richdocumentscode 26.4.303 el día 11. El medio también recogió informes de administradores que situaban el primer ataque el 10 de septiembre. Collabora publicó su aviso formal el 14 de octubre y la explicación sobre la demora al día siguiente.
| Fecha | Suceso |
| 9 de septiembre de 2026 | BleepingComputer informó de que Collabora había comprometido una corrección. |
| 10 de septiembre de 2026 | Fecha más temprana de actividad denunciada por administradores, según BleepingComputer. |
| 11 de septiembre de 2026 | BleepingComputer informó del lanzamiento de la versión corregida 26.4.303. |
| 14 de octubre de 2026 | Collabora publicó el aviso de seguridad de CVE-2026-110447. |
| 15 de octubre de 2026 | Collabora publicó su explicación sobre el retraso del aviso. |
BleepingComputer informó de ataques denunciados por administradores contra varios endpoints, con web shells PHP y búsquedas de almacenes de credenciales y carteras de criptomonedas. La actividad descrita por los administradores y la explicación de Nextcloud aparecen en el informe de BleepingComputer.
Qué app está afectada y cómo corregirla
CVE-2026-110447 es una inyección de comandos del sistema operativo a través de proxy.php. Según el aviso de seguridad de Collabora, una solicitud sin autenticación puede ejecutar comandos con los permisos del usuario del servidor web cuando el servidor CODE integrado no está en marcha, por ejemplo durante un reinicio o una actualización, o después de un fallo. El fallo afecta a versiones de richdocumentscode anteriores a 26.4.303; Collabora identifica esa versión como corregida.
Desactivar la app no basta: Collabora recomienda actualizarla a la versión 26.4.303 o posterior, o eliminarla. Para instalaciones con Nextcloud 29 o anterior, aconseja actualizar Nextcloud o retirar la app. La corrección de CVE-2025-66208 tampoco evita este problema. NeoTeo ya había cubierto la alerta inicial sobre la app CODE y la distinción entre ambos CVE.
Collabora indicó que el fallo no afecta a los servidores independientes de Collabora Online, las imágenes Docker, los paquetes RPM/DEB ni las imágenes Nextcloud All-in-One. La empresa también dijo que la app integrada la utilizaba una minoría de usuarios de Nextcloud y que ningún cliente de Collabora Online había resultado afectado.
