Los hackers acceden a los servidores de Nextcloud mediante una vulnerabilidad crítica en la aplicación CODE integrada de Collabora.

Los atacantes explotaron una vulnerabilidad en la aplicación opcional de Nextcloud, Collabora Online - Built-in CODE Server, para instalar web shells en los servidores de Nextcloud. Tres administradores reportaron el problema en GitHub, registrándose el primer ataque el 10 de septiembre.

Un web shell es un pequeño archivo que ejecuta cualquier comando que un atacante envíe mediante una solicitud web, con los permisos de la cuenta del servidor web. La vulnerabilidad permite que una solicitud no autenticada ejecute un comando en el servidor, pero solo cuando el servidor de documentos local de la aplicación no está en funcionamiento, como durante un reinicio o una actualización, o después de un fallo.

Collabora solucionó el problema en la versión 26.4.303 el 11 de septiembre y el 14 de octubre publicó un aviso con el identificador CVE-2026-110447, advirtiendo que desactivar la aplicación no soluciona el problema: debe actualizarse o desinstalarse. ¿Quiénes se ven afectados?

La aplicación, publicada por Collabora con el nombre de paquete richdocumentscode, descarga una copia de Collabora Online Development Edition (CODE) y la ejecuta en el propio servidor de Nextcloud.

Esto permite editar documentos con Nextcloud Office sin necesidad de un servidor Collabora independiente. En su descripción en la tienda, indica que es para "pruebas locales y uso no productivo" y "uso personal o para equipos pequeños".

El aviso de Collabora abarca todas las versiones anteriores a la 26.4.303 e indica que los servidores Collabora Online independientes no se ven afectados. Una advertencia publicada en el foro de la comunidad de Nextcloud el 3 de octubre afirmaba que una instalación no se ve afectada si utiliza únicamente la aplicación Nextcloud Office (richdocuments) sin la aplicación integrada, independientemente de si su servidor Collabora se ejecuta en Docker, desde un paquete de Linux o en un proveedor de alojamiento.

El script proxy.php de la aplicación inicia el servidor CODE local cada vez que llega una solicitud, pero no hay ningún otro servidor escuchando. En versiones anteriores a la 26.4.302, el script insertaba texto de la solicitud, incluyendo su ruta, dentro de un comando bash entre comillas dobles, donde el intérprete de comandos seguía ejecutando cualquier cosa escrita como $(...).

Una solicitud con un comando oculto en su ruta ejecutaba dicho comando como el usuario del servidor web. Dado que el script solo genera ese comando cuando necesita iniciar el servidor, el ataque solo funciona cuando el servidor está inactivo, por ejemplo, durante un reinicio de contenedor, una actualización o un fallo.

El script es un archivo PHP simple que el servidor web ejecuta directamente desde la carpeta de la aplicación y no carga ningún código de Nextcloud.

"No basta con deshabilitar la aplicación para evitar el problema; debe actualizarse a la versión 26.4.303 o superior, o bien eliminarse", indicó Collabora en el aviso.

Las versiones corregidas requieren Nextcloud 30 o posterior.

Nextcloud 29 y versiones anteriores han llegado al final de su ciclo de vida, y la tienda de aplicaciones aún ofrece una versión afectada, por lo que sus usuarios deben actualizar Nextcloud o eliminar la aplicación. La solución que Collabora implementó para una vulnerabilidad de inyección de comandos independiente en el mismo script, CVE-2025-66208, revelada el pasado diciembre, no evita esta otra.