CISA de EE. UU. añade vulnerabilidad de Collabora Online a su catálogo de Vulnerabilidades Conocidas Explotadas

⟫ 24/10/2026 ⟫ Pierluigi Paganini

Fuente: Security Affairs

**Vulnerabilidad Crítica en Collabora Online: Un Riesgo Inminente para Usuarios de Nextcloud**

La reciente inclusión de la vulnerabilidad crítica conocida como CVE-2026-110447 en el catálogo de Vulnerabilidades Conocidas Explotadas (KEV) por parte de la Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) subraya la creciente preocupación por la seguridad en las aplicaciones de colaboración en línea. Esta vulnerabilidad afecta a Collabora Online – Built-in CODE Server, una aplicación que permite a los usuarios de Nextcloud abrir, editar y colaborar en documentos, hojas de cálculo y presentaciones directamente desde su navegador sin necesidad de tener Microsoft Office instalado. Dicha aplicación se basa en la tecnología de Collabora Online y LibreOffice, lo que la convierte en una herramienta popular entre las organizaciones que buscan soluciones de oficina libres y de código abierto.

CVE-2026-110447 es una vulnerabilidad crítica de inyección de comandos del sistema operativo que afecta el archivo proxy.php de Nextcloud en las versiones anteriores a 26.4.303. Los atacantes no autenticados pueden ejecutar comandos en el sistema cuando el servidor integrado está detenido, lo que representa una amenaza significativa para la integridad del sistema. Es importante destacar que los servidores Collabora que operan de manera independiente no se ven afectados por esta vulnerabilidad, lo que limita el riesgo a aquellos que utilizan la versión integrada del servicio.

La vulnerabilidad se produce porque, en las versiones hasta la 26.4.302, el archivo proxy.php incluía datos de solicitud en un comando Bash sin la debida sanitización. Esto permite que los atacantes ejecuten comandos del sistema operativo como si fueran el usuario del servidor web. La explotación de esta vulnerabilidad es posible únicamente cuando el servidor CODE local está detenido, lo que puede ocurrir durante un reinicio, una actualización o un fallo del sistema. Lo crítico de esta situación es que el script se ejecuta directamente a través del servidor web, obviando el código de Nextcloud, lo que lo hace aún más peligroso.

Desde septiembre de 2026, la explotación de esta vulnerabilidad ha sido documentada, con atacantes desplegando shells web PHP y robando archivos de configuración que contienen credenciales y secretos de aplicaciones. Tres administradores reportaron la vulnerabilidad a través de GitHub, y el primer ataque registrado tuvo lugar el 10 de septiembre, cuando un administrador de Nextcloud descubrió que sus servidores habían sido comprometidos. Los registros mostraron solicitudes maliciosas en los días 10 y 11 de septiembre de 2026, provenientes de la misma dirección IP, que estaban dirigidas al archivo proxy.php en la versión 26.4.302. Durante este ataque, los atacantes desplegaron un shell web PHP y buscaron en un servidor almacenes de credenciales y billeteras de criptomonedas. Aunque los registros revisados no mostraron comandos de exfiltración de archivos, cualquier dato accesible a la cuenta del servidor web debe considerarse potencialmente expuesto.

Dos administradores adicionales informaron sobre incidentes similares, aunque ninguno encontró evidencia de acceso root. Después de actualizar a la versión 26.4.303, uno de los administradores registró otro intento el 14 de septiembre, aunque no se observó la aparición de un nuevo shell. El mantenedor del proyecto, conocido como mmeeks, instó a los usuarios a actualizar y eliminar archivos sobrantes con la extensión hx*.php. El registro CVE confirma la explotación en septiembre y octubre de 2026, aunque el número total de servidores comprometidos sigue siendo desconocido. Es relevante mencionar que la falla afecta únicamente a la implementación del servidor CODE integrado en la Edición de Desarrollo.

De acuerdo con la Directiva Operativa de Vinculación (BOD) 22-01, que busca reducir el riesgo significativo de vulnerabilidades conocidas explotadas, las agencias del FCEB deben abordar las vulnerabilidades identificadas antes de la fecha límite para proteger sus redes de ataques que exploten las fallas del catálogo. En este contexto, los expertos también recomiendan que las organizaciones privadas revisen el catálogo y aborden las vulnerabilidades presentes en su infraestructura.

CISA ha ordenado a las agencias federales que solucionen esta vulnerabilidad antes del 26 de octubre de 2026, lo que resalta la urgencia de la situación.

La creciente complejidad y sofisticación de los ataques cibernéticos subraya la importancia de mantener una postura proactiva en ciberseguridad, especialmente en un mundo donde las aplicaciones de colaboración en línea son cada vez más utilizadas en entornos de trabajo. La vulnerabilidad en Collabora Online es un recordatorio de que la seguridad no debe ser una reflexión tardía, sino una prioridad constante para todos los usuarios y organizaciones.

Para más información sobre ciberseguridad y vulnerabilidades, sígueme en Twitter: @securityaffairs y Facebook y Mastodon.

**Pierluigi Paganini** (SecurityAffairs – hacking, CISA)

◢ VULNERABILIDADES ◣

U.S. CISA adds Collabora Online flaw to its Known Exploited Vulnerabilities catalog

⟫ 24/10/2026 ⟫ Pierluigi Paganini

Source: Security Affairs

The U.S. Cybersecurity and Infrastructure Security Agency (CISA)addeda Collabora Collabora Online – Built-in CODE Server flaw, tracked asCVE-2026-110447(CVSS score of 9.2), to itsKnown Exploited Vulnerabilities (KEV) catalog. Collabora Online – Built-in CODE Server is an app for Nextcloud that lets you open, edit and collaborate on documents, spreadsheets and presentations directly in your browser, without needing Microsoft Office installed on your computer. It is based on Collabora Online and LibreOffice technology. CVE-2026-110447 is a critical OS command injection flaw in Nextcloud’sproxy.phpthat affects Collabora Online Built-in CODE Server before 26.4.303. Unauthenticated attackers can execute commands when the built-in server is stopped. Standalone Collabora servers are not affected. Update immediately. In versions up to 26.4.302,proxy.phpincluded request data in a Bash command without proper sanitization, allowing attackers to execute OS commands as the web server user. Exploitation is possible only when the local CODE server is stopped, such as during a restart, upgrade or crash. The script runs directly through the web server without loading Nextcloud’s code. Exploitationhas been reported since September 2026, with attackers deploying PHP web shells and stealing configuration files containing credentials and application secrets. Three administratorsreported the vulnerability on GitHub, while the first recorded attack dates back to September 10. The first attack was reported by a Nextcloud administrator whose servers had been compromised. Logs showed malicious requests on September 10 and 11, 2026, from the same IP, targetingproxy.phpon version 26.4.302. The attackers deployed a PHP web shell and searched one server for credential stores and cryptocurrency wallets. Although reviewed logs showed no file exfiltration commands, data accessible to the web server account must be considered potentially exposed. Two other administrators reported similar incidents, but none found evidence of root access. After updating to 26.4.303, one administrator recorded another attempt on September 14, but no new shell appeared. Project maintainer mmeeks urged users to update and remove leftovershx*.phpfiles. The CVE record confirms exploitation in September and October 2026, but the total number of compromised servers remains unknown. The flaw affects only the Development Edition’s Built-in CODE Server deployment. According toBinding Operational Directive (BOD) 22-01: Reducing the Significant Risk of Known Exploited Vulnerabilities, FCEB agencies have to address the identified vulnerabilities by the due date to protect their networks against attacks exploiting the flaws in the catalog. Experts also recommend that private organizations review theCatalogand address the vulnerabilities in their infrastructure. CISA orders federal agencies to fix the flaw by October 26, 2026. Follow me on Twitter:@securityaffairsandFacebookandMastodon Pierluigi Paganini (SecurityAffairs– hacking,CISA)

← VOLVER A CIBERSEGURIDAD