Una vulnerabilidad crítica (CVE-2026-110447) en la aplicación “Collabora Online - Built-in CODE Server” (richdocumentscode) de Nextcloud ha permitido a atacantes inyectar web shells en servidores. Esta aplicación, diseñada para pruebas locales y equipos pequeños, permite la edición de documentos directamente en el servidor Nextcloud sin una instancia de Collabora externa. Los ataques se han registrado desde al menos el 10 de septiembre.
La falla se encontraba en el script proxy.php de la aplicación, que no escapaba correctamente los comandos enviados a través de la ruta de la solicitud. Esto permitía la ejecución remota de comandos no autenticados, pero solo cuando el servidor de documentos local no estaba en funcionamiento, por ejemplo, durante un reinicio, actualización o caída del servicio. Una vez inyectado, el web shell otorgaba al atacante el control sobre el servidor con los privilegios de la cuenta del servidor web.
Se reportaron ataques donde los cibercriminales desplegaron web shells para buscar credenciales y billeteras de criptomonedas en los sistemas comprometidos. Es crucial entender que esta vulnerabilidad afecta específicamente a las instalaciones de Nextcloud que utilizan la aplicación richdocumentscode (versiones anteriores a 26.4.303), y no a los servidores Collabora Online independientes ni a las configuraciones de Nextcloud que emplean un servidor Collabora externo (en Docker, paquete Linux o proveedor de hosting). Las instancias de Nextcloud 29 y versiones anteriores también son vulnerables, ya que no pueden actualizar a la versión parcheada.
Para mitigar esta amenaza, es indispensable actualizar la aplicación “Collabora Online - Built-in CODE Server” a la versión 26.4.303 o posterior, o desinstalarla por completo, ya que deshabilitarla no es suficiente para cerrar la falla. Los usuarios de Nextcloud 29 o versiones anteriores deben actualizar su instancia de Nextcloud o remover la aplicación. Además, se recomienda revisar los directorios, especialmente apps/richdocumentscode/, en busca de archivos shx*.php (web shells) y eliminarlos, así como analizar los registros de acceso desde el 10 de septiembre para identificar solicitudes sospechosas a proxy.php?status o intentos de sudo por parte del usuario del servidor web.
Qué significa para tu empresa: Una vulnerabilidad de esta naturaleza, que permite la ejecución de código arbitrario y la instalación de web shells, subraya la importancia de una estrategia de ciberseguridad proactiva. La detección temprana de actividad maliciosa, como la aparición de archivos inesperados o comandos anómalos en los sistemas, es vital. Esto se logra eficazmente mediante el SOC con monitoreo 24/7 y la analítica de logs, que permiten identificar indicadores de compromiso (IoCs) y responder rápidamente para contener y erradicar la amenaza antes de que cause un daño mayor.
Fuente original: The Hacker News — ver artículo →