Hackers Backdoor Nextcloud Servers Through Critical Flaw in Collabora’s Built-in CODE App
The Hacker News · 14 oct, 19:38
Qué hacer: Actualiza Collabora Online - Built-in CODE Server a versión 26.4.303 o posterior, o elimina la aplicación; en Nextcloud 29 o anterior, actualiza el sistema completo o retira la app.
Atacantes explotaron una vulnerabilidad crítica en la aplicación Collabora Online - Built-in CODE Server de Nextcloud para instalar web shells en servidores comprometidos. El fallo permite ejecutar comandos sin autenticación cuando el servidor local no está en funcionamiento, como durante reinicios o actualizaciones. Collabora publicó el parche en versión 26.4.303 el 11 de septiembre, pero el 14 de octubre emitió el aviso CVE-2026-110447 advirtiendo que deshabilitar la aplicación no mitiga el problema: debe actualizarse o eliminarse.
El fallo radica en el script proxy.php de la aplicación, que inicia el servidor CODE local cuando recibe solicitudes. En versiones anteriores a 26.4.302, el script colocaba texto de la solicitud dentro de un comando bash entrecomillado, permitiendo que el intérprete de shell ejecutara comandos ocultos mediante sintaxis como $(...). La explotación requiere que el servidor esté inactivo (durante reinicios, actualizaciones o fallos), cuando nada escucha en el puerto.
Los primeros reportes de administradores mostraban solicitudes a proxy.php?status con comandos ocultos en la ruta. Los atacantes decodificaban web shells PHP en la carpeta de la aplicación e intentaban exfiltrar datos mediante webhook.site. Luego buscaban almacenes de credenciales y carteras de criptomonedas (.kdbx, wallet.dat, keystore.json). El aviso de Collabora confirma explotación activa en septiembre y octubre de 2026. La solución requiere actualizar a 26.4.303 o eliminar la aplicación; deshabilitar la no cierra el fallo. Los servidores Nextcloud 29 o anteriores (fin de vida) deben actualizarse o eliminar la aplicación, ya que la tienda aún sirve versiones vulnerables.
Puntos clave
- Actualiza richdocumentscode a versión 26.4.303 o posterior, o elimina la aplicación
- Deshabilitar la aplicación no mitiga la vulnerabilidad; es imprescindible actualizar o eliminar
- Busca archivos shx*.php en apps/richdocumentscode/ y elimínalos; revisa logs desde 10 de septiembre
- Requiere Nextcloud 30 o posterior; versiones 29 o antiguas necesitan actualización del sistema o eliminación de la app