La RCE de Collabora integrada en Nextcloud entra en KEV con plazo federal el 26 de octubre
CISA añadió CVE-2026-110447 al catálogo KEV. El fallo afecta al CODE integrado en Nextcloud anterior a 26.4.303 y permite ejecutar comandos si el servidor CODE no está activo; deshabilitar la app no corrige la ruta.
CISA añadió el 23 de octubre CVE-2026-110447 al catálogo de vulnerabilidades explotadas conocidas, una señal de que el fallo ya no es solo una posibilidad de laboratorio. Afecta a Collabora Online – Built-in CODE Server, la aplicación que integra un servidor de edición de documentos dentro de Nextcloud; permite ejecución remota de comandos (RCE) en una condición concreta del servicio. La fecha del 26 de octubre que aparece en el catálogo es la fecha de acción para organismos civiles federales de Estados Unidos, no un plazo legal general para todas las organizaciones. Para el resto, la entrada KEV sí cambia la prioridad: conviene comprobar hoy si el componente está instalado y en qué versión.
-SecureCrew dice: cuando una vulnerabilidad llega a KEV, el inventario deja de ser una tarea para “cuando haya hueco”.-
Qué componente falla
El fallo, CVE-2026-110447, está en el proxy de la aplicación de Nextcloud llamada richdocumentscode. La solicitud llega a proxy.php y puede terminar ejecutando comandos del sistema con los permisos del usuario del servidor web. El requisito operativo es poco intuitivo: la explotación solo funciona cuando el servidor CODE integrado no está en ejecución, por ejemplo durante un reinicio, una actualización o una caída. La vulnerabilidad no es una puerta abierta idéntica en cualquier instalación de Collabora; el aviso se refiere al servidor CODE incluido como aplicación de Nextcloud.
La corrección está en richdocumentscode 26.4.303 o posterior. El aviso de Collabora indica que desactivar la aplicación no basta: hay que actualizarla o retirarla. Eso importa porque una consola puede mostrar el complemento como deshabilitado y dejar intactos sus archivos y su ruta vulnerable. Tampoco hay que extrapolar el aviso a un servidor Collabora instalado por separado: es una modalidad distinta y queda fuera del alcance indicado por el fabricante.
-SecureCrew dice: “apagado” y “desinstalado” son estados distintos; una ruta PHP no consulta el panel antes de recibir una petición.-
La inclusión en KEV confirma explotación conocida, pero por sí sola no dice cuántos Nextcloud han sido alcanzados ni qué datos se han extraído. CVSS, KEV y el estado de un servidor son piezas distintas: una puntuación resume severidad técnica, el catálogo prioriza fallos explotados y la revisión local determina si una instancia concreta coincide con la configuración afectada. CISA marca “desconocido” el uso en campañas de ransomware; no hay base para convertir la entrada en una afirmación de ransomware generalizado.
La comprobación útil
Primero, identifica si Nextcloud tiene instalada la aplicación Built-in CODE Server y registra su versión real; no basta con saber que la organización usa “Collabora”. Si aparece una versión anterior a 26.4.303, programa la actualización del componente o retíralo si no se utiliza. La fecha federal del 26 de octubre pertenece a las entidades cubiertas por el catálogo; para otras organizaciones sirve como referencia de urgencia, no como obligación trasladable sin más.
Después del cambio, separa corrección de vulnerabilidad y respuesta a una posible intrusión. La actualización cierra la ruta descrita, pero no elimina por sí sola un acceso que hubiera ocurrido antes. Si el servicio estuvo expuesto a Internet, revisa los registros del servidor y la integridad del directorio de la aplicación con los procedimientos habituales de respuesta; si aparece evidencia de ejecución ajena, conserva los registros y rota solo los secretos a los que esa cuenta podía acceder, coordinándolo con el equipo responsable. Una petición sospechosa no demuestra por sí sola que el comando se ejecutara.
-SecureCrew dice: el parche cierra la ventana; no puede borrar retrospectivamente lo que alguien alcanzó a hacer dentro.-
El dato operativo más importante es el estado del servicio, no el nombre comercial del despliegue. Nextcloud puede incluir CODE junto con otros componentes de oficina, mientras que un servidor Collabora independiente tiene otra superficie. La actualización tampoco reemplaza una investigación si hay indicios de compromiso: contención, revisión de credenciales y recuperación dependen de lo que muestren los registros, no solo de la versión instalada.
Diccionario de la Crew
KEV — Catálogo de CISA para vulnerabilidades cuya explotación se conoce; ayuda a priorizar, pero no identifica por sí solo qué sistemas de una organización están afectados.
RCE — Ejecución remota de código: posibilidad de hacer que un sistema ejecute instrucciones enviadas desde otro equipo.
richdocumentscode — Aplicación de Nextcloud que incorpora el servidor Collabora CODE para editar documentos desde la plataforma.
