El 26 de octubre, Heise informó de que las primeras entradas de seguimiento sobre el fallo de Collabora en Nextcloud databan del 11 de septiembre; también mencionó avisos de usuarios sobre web shells, scripts que permiten ejecutar órdenes en un servidor mediante la web. El 23 de octubre, CISA añadió al catálogo de vulnerabilidades explotadas conocidas (KEV) dos fallos distintos, basándose en pruebas de explotación activa: uno en VeloCloud Orchestrator (VCO) On-Premise y otro en Collabora Online Built-in CODE para Nextcloud.
Qué corrige cada actualización
| Vulnerabilidad y componente | Condición del fallo | Versión corregida | Acción recomendada |
| CVE-2026-114625, VCO On-Premise | Acceso de red a la interfaz web y una sesión autenticada del portal; Enterprise Read Only es el rol integrado mínimo. | 5.2.3.18 o posterior en la rama 5.2; 6.1.3.10 o posterior en la 6.1; 6.4.2.12 o posterior en la 6.4. | Actualizar a la versión corregida de la rama y restringir el acceso a la interfaz mientras tanto. |
| CVE-2026-110447, Collabora Built-in CODE para Nextcloud | La petición a proxy.php puede ejecutar un comando del sistema cuando el servidor integrado de CODE no está en marcha. | richdocumentscode 26.4.303 o posterior. | Actualizar la aplicación o eliminarla; desactivarla no basta. |
VCO On-Premise requiere una sesión autenticada
CVE-2026-114625 es una inyección SQL en VCO On-Premise. Arista indica que la explotación requiere acceso de red a la interfaz web y una sesión válida en el portal de VCO; el permiso integrado mínimo es Enterprise Read Only. Una vez autenticado, un usuario puede obtener privilegios de operador y acceder a funciones internas del orquestador.
Arista recomendó restringir la interfaz a redes administrativas de confianza hasta instalar la actualización. El aviso también identifica dos direcciones IP observadas en ataques, 74.82.197.86 y 38.54.50.151, y aconseja bloquearlas y buscarlas en los registros. Si se sospecha una intrusión, recomienda conservar, cuando sea viable antes de remediar, los registros de acceso web, aplicación, sistema y base de datos, además de las marcas temporales pertinentes del sistema de archivos. Los detalles de las ramas y versiones corregidas figuran en el aviso de seguridad de Arista.
El alcance de esta vulnerabilidad se limita a VeloCloud Orchestrator On-Premise. Arista dijo en su aviso del 22 de octubre que sus instancias alojadas, incluidas las Dedicated, ya habían recibido el parche.
Collabora Built-in CODE: actualizar o eliminar la aplicación
CVE-2026-110447 es una inyección de comandos del sistema en proxy.php. Una petición puede ejecutar un comando con los permisos del usuario del servidor web sin autenticación previa, pero la condición descrita por Collabora se da cuando el servidor Built-in CODE no está en marcha, por ejemplo durante el reinicio o la actualización de un contenedor, o después de una caída.
Desactivar la aplicación no corrige el fallo: hay que actualizar richdocumentscode a la versión 26.4.303 o posterior, o eliminarla. La versión corregida requiere Nextcloud 30 o posterior; quienes usen Nextcloud 29 o una versión anterior deben actualizar Nextcloud o quitar la aplicación. Los servidores independientes de Collabora Online no están afectados por esta vulnerabilidad.
Collabora precisa además que CVE-2026-110447 sigue una ruta distinta de CVE-2025-66208: corregir la vulnerabilidad anterior no evita esta. La cobertura previa de NeoTeo sobre las CVE de Nextcloud y Collabora CODE aporta contexto sobre esa cronología. Los detalles de la corrección están en el aviso de seguridad de Collabora.
Qué dice la cronología y a quién obliga la directiva de CISA
Heise atribuyó la fecha del 11 de septiembre a las primeras entradas de seguimiento y a reportes de usuarios sobre web shells en servidores Nextcloud. Esa fecha corresponde a la cronología que informó sobre Collabora; no fecha la inclusión posterior de los dos fallos en KEV, que CISA anunció el 23 de octubre.
La directiva BOD 26-04 establece obligaciones de gestión de vulnerabilidades para las agencias del poder ejecutivo federal civil de Estados Unidos. CISA recomienda a las demás organizaciones priorizar las vulnerabilidades incluidas en KEV, pero esa recomendación no extiende la obligación federal a todos los organismos.
