El aviso de GitHub Advisory Database, publicado el 14 de octubre de 2026, distingue CVE-2026-110447 de CVE-2025-66208 y describe explotación durante septiembre y octubre. El fallo afecta a la app integrada richdocumentscode de Nextcloud, no a todos los despliegues de Collabora.
NeoTeo ya informó de una vulnerabilidad en la app CODE de Nextcloud. El aviso de octubre aclara que se trata de un CVE distinto de CVE-2025-66208.
Qué instalación está afectada
CVE-2026-110447 es una inyección de comandos del sistema operativo en proxy.php. El aviso indica que puede permitir ejecución remota de código cuando el servidor CODE local no está en funcionamiento. Afecta a Collabora Online - Built-in CODE Server, la app de Nextcloud identificada como richdocumentscode; los servidores independientes de Collabora Online quedan fuera de este fallo. El aviso sitúa las versiones afectadas antes de 26.4.303.
Las web shells reportadas no desaparecen al actualizar
Pasquale Pillitteri informó de solicitudes GET sin autenticación a /apps/richdocumentscode/proxy.php?status que instalaron archivos PHP maliciosos en el directorio de la app. Una web shell es un archivo que permite ejecutar órdenes en el servidor; en los casos descritos, se ejecutaba con los permisos de la cuenta del servidor web, normalmente www-data.
Pillitteri recogió tres relatos públicos de administradores: shells encontradas en varios servidores con la versión 26.4.302, un archivo PHP malicioso detectado en una comprobación de integridad y correos sobre intentos fallidos de sudo. Su cobertura señala que actualizar cierra la vía vulnerable, pero no elimina una shell que ya se hubiera instalado. La recomendación de buscar esos archivos por separado aparece también en la información publicada por Pasquale Pillitteri.
The Hacker News publicó una advertencia en X con la recomendación de actualizar la app o retirarla. La publicación original conserva su texto en inglés:
Cómo responder si tienes richdocumentscode
Pillitteri recomienda actualizar la app a 26.4.303 o posterior, o eliminarla; desactivarla no basta. Para instalaciones con Nextcloud 29 o anterior, aconseja actualizar Nextcloud o retirar la app.
La actualización y la búsqueda de archivos ya instalados son pasos distintos. Pillitteri recomienda revisar el directorio de la app en busca de shx*.php y shrf*.php, y consultar los registros desde el 10 de septiembre para localizar solicitudes sospechosas a proxy.php?status. Si se encuentra una shell, aconseja cambiar los secretos legibles por la cuenta del servidor web.
