Para quién es esto: administradores que ejecutan Nextcloud en su propio servidor o VPS y han instalado la aplicación Collabora Online - Built-in CODE Server (ID de aplicación richdocumentscode, una aplicación que ejecuta un servidor de edición de documentos de oficina dentro de Nextcloud). Esta página se basa en el aviso de seguridad y el blog de los desarrolladores, y en los datos públicos de CISA. No explica cómo funcionan los ataques.
En desarrollo: esta página se actualizará a medida que se publique más información
A las 23:00 UTC del 24 de octubre de 2026Aún no se sabe
- Cuántos servidores u organizaciones resultaron afectados
- Quién está detrás de los ataques
- Guía oficial para comprobar si hubo un compromiso (no incluida en el aviso)
- Si la aplicación ARM64 con el mismo nombre (richdocumentscode_arm64) está cubierta
Los desarrolladores publicaron el aviso de seguridad y el CVE el 14 de octubre y explicaron el alcance en una entrada de blog el 15 de octubre. CISA añadió el fallo a KEV el 23 de octubre. No se ha publicado ni el número de víctimas ni quién está detrás de los ataques. Esta página se actualizará cuando se revise el aviso.
Qué hacer hoy (si la aplicación CODE integrada está instalada)
Comprueba si la aplicación está instalada y qué versión tiene
Inicia sesión como administrador y busca Collabora Online - Built-in CODE Server en la página de Aplicaciones. Revisa la lista de aplicaciones desactivadas además de las activadas. Desde la línea de comandos, ejecuta php occ app:list en el directorio de Nextcloud como usuario del servidor web; muestra cada aplicación, si está activada y su versión. Si richdocumentscode no aparece, no te afecta este fallo.
Antes de actualizar o eliminar, guarda la salida de la comprobación y una copia del directorio
Actualizar o eliminar la aplicación sustituye su directorio, y los archivos plantados y otras pruebas se perderían. Primero ejecuta php occ integrity:check-app richdocumentscode y guarda la salida; después copia todo el directorio de la aplicación (richdocumentscode dentro de apps o custom_apps) en otro lugar (recomendación de este sitio).
Si es anterior a la 26.4.303, actualízala
Actualiza desde la página de Aplicaciones o con php occ app:update richdocumentscode. La corrección está en la 26.4.303; a 25 de octubre, la tienda de aplicaciones ofrece la 26.4.502 para Nextcloud 30 y posteriores. Tras actualizar, confirma que la versión es la 26.4.303 o superior.
Si no la usas, o ejecutas Nextcloud 29 o anterior, elimínala
Los desarrolladores afirman que desactivarla no evita el problema. Si no la usas, elimínala con php occ app:remove richdocumentscode y confirma que el directorio de la aplicación (richdocumentscode dentro de apps o custom_apps) ya no existe. No se ofrece una versión corregida para Nextcloud 29 y anteriores, así que actualiza Nextcloud a la 30 o posterior, o elimina la aplicación.
Busca señales de intrusión
Si en algún momento desde alrededor del 10 de septiembre ejecutaste una versión anterior a la corrección, revisa la copia del directorio de la aplicación, los registros del servidor web y los procesos en ejecución, tal como se describe en "Cómo comprobar si hubo un compromiso" más abajo. Actualizar puede no eliminar archivos que ya hubieran sido plantados.
Si encuentras indicios, aísla primero
Si encuentras archivos o procesos que no reconoces, no los borres sin más y sigas adelante. Desconecta el servidor de la red, conserva los registros y las pruebas, y después pasa a cambiar las credenciales y restaurar. Los pasos están en "Si el servidor fue comprometido" más abajo.
¿Estás afectado? Referencia rápida
| Lo que ejecutas | ¿Afectado? | Qué hacer |
|---|---|---|
| richdocumentscode instalada, anterior a la 26.4.303 (activada o desactivada) | Sí (aviso) | Actualizar o eliminar |
| richdocumentscode 26.4.303 o posterior | Corregido (aviso) | Buscar indicios de antes de la actualización (recomendación nuestra) |
| richdocumentscode en Nextcloud 29 o anterior | Sí. La versión más reciente ofrecida para la 29 y anteriores es la 26.4.104, anterior a la corrección | Actualizar Nextcloud a la 30 o posterior, o eliminar la aplicación (aviso) |
| Conexión a un servidor independiente de Collabora Online (solo Nextcloud Office, richdocuments) | No afectado (aviso) | Nada para este CVE |
| Imagen Docker de Collabora, paquetes RPM/DEB, Nextcloud All-in-One | No afectado (blog de los desarrolladores) | Nada para este CVE |
| richdocumentscode_arm64 (la aplicación ARM64) | No mencionada en el aviso | Misma línea de versiones; recomendamos actualizar a la última (opinión nuestra) |
Incluso en All-in-One, si más adelante añadiste richdocumentscode desde la página de Aplicaciones, considera esa aplicación como afectada (opinión nuestra). Si estás afectado depende de si richdocumentscode está instalada, no del nombre de tu configuración.
1. ¿Instalada?
richdocumentscode presente, incluso desactivada
2. Versión
Afectada si es anterior a la 26.4.303
3. Indicios desde el 10 de sept.
Comprueba si ejecutaste una versión antigua
Qué se reveló (aviso de los desarrolladores)
- CVE
- CVE-2026-110447 (GHSA-g3vx-3m76-fghh)
- Tipo
- Inyección de comandos del sistema operativo (CWE-78) en proxy.php de la aplicación
- Gravedad
- CVSS v4.0 9,2 (crítica). Vector de ataque por red, sin autenticación, sin interacción del usuario. Hay requisitos de ataque presentes (AT:P)
- Impacto
- Los comandos del sistema operativo pueden ejecutarse como el usuario del servidor web
- Condición
- El servidor CODE integrado no está en ejecución (por ejemplo, tras un reinicio del contenedor, una actualización o un fallo)
- Afectada
- richdocumentscode anterior a la 26.4.303
- Solución
- Actualizar a la 26.4.303 o posterior, o eliminar la aplicación. Desactivarla no basta. En Nextcloud 29 y anteriores, actualiza Nextcloud o elimina la aplicación
- No afectado
- Servidores independientes de Collabora Online (aviso). Imágenes Docker, paquetes RPM/DEB, Nextcloud All-in-One (blog de los desarrolladores)
- Corrección publicada
- 26.4.303 el 11 de septiembre de 2026 (lista de versiones de los desarrolladores)
El aviso indica que este fallo utiliza una vía distinta a la de una vulnerabilidad anterior (CVE-2025-66208), y que la corrección de aquella no evita este. Haber gestionado el fallo anterior no elimina la necesidad de esta actualización.
CISA añadió el CVE-2026-110447 a KEV el 23 de octubre y fijó el 26 de octubre como fecha límite para las agencias federales de EE. UU. La entrada de KEV indica que requiere un análisis forense. El uso en campañas de ransomware conocidas figura como "Desconocido".
Cuándo empezaron los ataques
La corrección salió el 11 de septiembre, pero el aviso y el CVE no se publicaron hasta el 14 de octubre. Mientras tanto, los usuarios informaron en el repositorio de los desarrolladores de que, desde alrededor del 10 de septiembre, vieron peticiones sospechosas a proxy.php y archivos PHP que no reconocían en el directorio de la aplicación. En el foro de la comunidad de Nextcloud, un usuario instó a otros a actualizar el 3 de octubre.
Según BleepingComputer (15 de octubre), los web shells plantados (archivos maliciosos que permiten a alguien externo enviar comandos al servidor) se usaron para buscar archivos de bóvedas de contraseñas y monederos de criptomonedas. Algunos usuarios dijeron que hubo ransomware, pero el medio afirma que no pudo confirmarlo. Según el mismo informe, los desarrolladores atribuyeron el retraso del anuncio a una acumulación de trabajo en el procesamiento de CVE.
Opinión de este sitio: durante el mes entre la corrección y el aviso, los administradores que no actualizaban las aplicaciones automáticamente no tenían ninguna señal de que la actualización fuera urgente. Un proceso de "parchear cuando aparece un aviso" deja abierta toda esa ventana. Las aplicaciones de Nextcloud necesitan su propia comprobación de actualizaciones, separada de Nextcloud en sí.
Una aplicación desactivada y olvidada sigue contando
Los desarrolladores afirman que desactivar la aplicación no evita el problema. Si la instalaste una vez para probarla y dejaste de usarla, compruébala mientras sus archivos sigan presentes. La lección aquí es eliminar las aplicaciones que no uses, no solo desactivarlas (opinión nuestra).
Cómo comprobar si hubo un compromiso (comprobaciones del lado del defensor)
Estas son comprobaciones que un administrador realiza en su propio servidor. No intentes reproducir el ataque.
Ejecuta la comprobación de integridad de Nextcloud
Nextcloud puede comprobar si los archivos de una aplicación coinciden con la versión publicada. Ejecuta php occ integrity:check-app richdocumentscode y busca archivos que no estén en la versión publicada (EXTRA_FILE) o archivos cuyo contenido difiera. Algunos usuarios informaron de que notaron el compromiso cuando falló la comprobación de integridad de Nextcloud. Como en "Qué hacer hoy" más arriba, ejecútala antes de actualizar o eliminar la aplicación y guarda la salida.
Busca archivos desconocidos en los directorios de la aplicación y del servidor web
Además del directorio de richdocumentscode, lista los archivos PHP creados o modificados desde el 10 de septiembre en todo el directorio de Nextcloud (por ejemplo, find /ruta/a/nextcloud -name "*.php" -newermt 2026-09-10). Las actualizaciones también cambian las fechas, así que céntrate en nombres que no formen parte de la versión oficial.
Revisa los registros del servidor web en busca de peticiones a proxy.php
Extrae las peticiones al proxy.php de richdocumentscode de los registros de acceso (por ejemplo, grep "richdocumentscode/proxy.php" access.log*). Busca peticiones desde alrededor del 10 de septiembre procedentes de orígenes que no reconozcas, o peticiones con cadenas inusualmente largas. Algunas peticiones usan formas codificadas en URL, así que busca también simplemente las líneas que contengan "proxy.php" (por ejemplo, grep "proxy.php" access.log*). Si tus registros se conservan solo durante poco tiempo, revisa lo que queda y anota el periodo que cubren.
Revisa los procesos y conexiones del usuario del servidor web
Comprueba los procesos que se ejecutan como usuario del servidor web (www-data, apache, nginx, etc.) y las conexiones salientes. Busca shells, herramientas de descarga o cualquier otra cosa que el servidor web no suela iniciar. Nuestra guía sobre cómo comprobar si tu sitio web o servidor fue hackeado explica el proceso completo.
Si el servidor fue comprometido
Como los comandos se ejecutan como el usuario del servidor web, supón que se ha visto todo lo que ese usuario puede leer (opinión nuestra). En Nextcloud, eso incluye la contraseña de la base de datos y las credenciales de almacenamiento externo y correo de config.php, además de los archivos de los usuarios.
Respuestas que conviene evitar
- Borrar los archivos encontrados y seguir como si nada
- Actualizar sin comprobar si alguien entró
- Reconstruir el servidor antes de conservar los registros
- Restaurar sin cambiar las credenciales
Respuesta recomendada
- Primero desconecta el servidor de la red y guarda copias de los registros y las pruebas en otro lugar
- Cambia las contraseñas de la base de datos, el almacenamiento externo, el correo, los administradores y las aplicaciones
- Restaura desde una copia de seguridad anterior al 10 de septiembre, o reconstruye, y aplica la corrección antes de volver a conectarlo
- Decide si hay que informar a los usuarios de que sus archivos pudieron haber sido vistos
Una copia de seguridad restaurada puede devolver una versión antigua de richdocumentscode. Actualiza o elimina la aplicación antes de volver a exponer el servidor. Si una organización usa el servidor, comprueba si tienes obligaciones de notificación sobre datos personales. Nuestra guía sobre lo esencial de las copias de seguridad cubre los fundamentos de la recuperación.
Para saber cómo priorizar los fallos incluidos en KEV, consulta decidir qué parchear primero con CVSS, EPSS y KEV.
Lo que todavía no se sabe
| Elemento | Estado |
|---|---|
| Explotación activa | Confirmada (CISA KEV) |
| Cuándo empezaron los ataques | Informes de usuarios desde alrededor del 10 de septiembre en el repositorio de los desarrolladores; sin declaración oficial |
| Número de servidores u organizaciones afectados | No indicado |
| Quién está detrás de los ataques | No indicado |
| Uso en ransomware | "Desconocido" en KEV; la prensa dice que no pudo confirmarlo |
| Comprobaciones oficiales de compromiso o indicadores | No incluidos en el aviso |
| La aplicación ARM64 (richdocumentscode_arm64) | No mencionada en el aviso |
Fuentes
- Desarrolladores de Collabora Online, "Unauthenticated OS command injection in the richdocumentscode proxy" (GHSA-g3vx-3m76-fghh, 14 de octubre de 2026) — github.com
- Blog de los desarrolladores de Collabora Online, "Stay Safe: Upgrade Everything Regularly" (15 de octubre de 2026) — collaboraonline.com
- Lista de versiones de richdocumentscode (26.4.303: 11 de septiembre) — github.com
- Incidencia #354 de richdocumentscode (informes de usuarios sobre ataques, desde el 11 de septiembre) — github.com
- Foro de la comunidad de Nextcloud, "To Collabora Built-in User: Update ASAP" (desde el 3 de octubre) — help.nextcloud.com
- CISA, Catálogo de Vulnerabilidades Explotadas Conocidas (CVE-2026-110447) — cisa.gov
- BleepingComputer, "Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers" (15 de octubre de 2026) — bleepingcomputer.com
Historial de actualizaciones
2026-10-25: Primera versión, basada en el aviso, el blog y la lista de versiones de los desarrolladores, el catálogo KEV de CISA e informes de prensa.
Lectura recomendada
- Comprobar si hubo un compromiso: Cómo comprobar si tu sitio web o servidor fue hackeado
- Priorizar las correcciones: Decidir qué parchear primero: CVSS, EPSS y KEV
- Recuperación: Lo esencial de las copias de seguridad
- Otra vulnerabilidad explotada del mismo periodo: SiteGuard Server Edition CVE-2026-106931
- Glosario: ¿Qué es RCE? / ¿Qué es una puerta trasera? / ¿Qué es CVSS?