Nextcloud con Collabora integrado: actualízalo aunque no lo uses

Vulnerabilidad en Nextcloud con Collabora: qué ha pasado

En una agencia de diseño de Guadalajara, en México, dejaron Dropbox hace un año por un Nextcloud instalado en un servidor alquilado. Para abrir presupuestos y hojas de cálculo en el navegador, alguien añadió desde la tienda de apps de Nextcloud «Collabora Online - Built-in CODE Server», que evita montar un servidor de documentos aparte. Meses después cambiaron de editor y desactivaron la app. Esa app desactivada es la puerta que buscan los atacantes desde septiembre.

El 11 de septiembre de 2026, un administrador que gestiona varios servidores Nextcloud describió en GitHub ataques con éxito desde el día anterior: los atacantes habían creado en sus servidores archivos PHP que funcionan como puertas traseras, desde las que se pueden dar órdenes al servidor por internet. Collabora corrigió el fallo a mediados de septiembre con la versión 26.4.303 de la app, pero no publicó el aviso hasta el 14 de octubre, un retraso que atribuye a la cola de tramitación de los identificadores CVE. La CISA lo incluyó en su catálogo de vulnerabilidades explotadas el 23 de octubre.

Collabora subraya que el alcance es limitado: solo afecta a esta app opcional, que no es su forma de instalación recomendada, que está pensada para uso doméstico y que usa una minoría de quienes tienen Nextcloud. Pero el 30 de octubre, un usuario todavía advertía en GitHub de que el ataque funciona con la app desactivada. Un desarrollador de Collabora le recordó que el aviso ya lo decía: desactivarla no basta.

Qué hace el fallo

La app arranca, dentro del propio Nextcloud, una copia del servidor de documentos de Collabora. Mientras esa copia no está en marcha, porque el servidor o el contenedor se está reiniciando, porque se está actualizando o porque ha fallado, una petición manipulada al archivo proxy.php de la app puede ejecutar órdenes del sistema en el servidor, con el usuario del servidor web y sin ninguna contraseña. El aviso lo califica de crítico, con una puntuación de 9.2 sobre 10.

Desactivar la app no elimina sus archivos del servidor, y por eso el aviso pide actualizarla a la 26.4.303 o posterior, o eliminarla.

Si tienes Nextcloud: ¿te afecta?

La versión corregida es la misma en España y en América Latina. Si dudas de cuál de las formas de usar Nextcloud tienes, en nuestra guía sobre qué es Nextcloud y cuándo compensa explicamos las tres y quién se encarga de actualizar en cada una.

Cómo comprobarlo y actualizar

Con una cuenta de administrador de Nextcloud, abre la página de Aplicaciones: según la documentación de Nextcloud, ahí aparecen las apps activadas, las desactivadas y las actualizaciones disponibles, con un botón para actualizar cada app y otro para actualizarlas todas. Busca «Collabora Online - Built-in CODE Server» en las dos listas, la de activadas y la de desactivadas.

• Si la usas, actualízala. La 26.4.502, publicada el 23 de octubre, es la más reciente en la tienda de apps a 30 de octubre de 2026.
• Si no la usas, elimínala en lugar de dejarla desactivada.
• Si tu Nextcloud es la versión 29 o anterior, el problema es doble: Nextcloud ya no la mantiene, y Collabora pide actualizar Nextcloud o eliminar la app. Es trabajo para quien mantiene el servidor, con una copia de seguridad hecha antes.

Cómo saber si han entrado

Actualizar cierra la puerta, pero no saca a quien ya haya entrado. Si la app estuvo instalada sin actualizar entre septiembre y octubre, hay dos comprobaciones.

La comprobación de integridad de Nextcloud

Nextcloud firma el código de las apps de su tienda y compara los archivos instalados con esa firma al instalar y al actualizar. Si encuentra diferencias, la página Vista general (Overview) de la administración avisa de que algunos archivos no han pasado la comprobación de integridad y permite ver la lista y repetir el análisis. Quien maneje la consola puede lanzarlo solo para esta app con occ integrity:check-app richdocumentscode.

Lo que hay que buscar es un archivo marcado como EXTRA_FILE dentro de richdocumentscode, el nombre interno de la app: un archivo que no forma parte de ella. Así detectaron la suya al menos dos administradores atacados. Los archivos descritos en GitHub y en el foro de Nextcloud tienen nombres como shxa35d0.php, shrf4645.php o Nx_33143.php.

Los registros del servidor web

Los ataques descritos en GitHub piden la dirección /apps/richdocumentscode/proxy.php?status. Si los registros del servidor web muestran peticiones a esa dirección desde el 10 de septiembre, alguien lo ha intentado; si además hay archivos PHP de más, lo ha conseguido.

Si aparece cualquiera de las dos señales, trátalo como una intrusión y no como una limpieza. El atacante ha podido ejecutar órdenes con el mismo usuario que Nextcloud, el que lee sus archivos y su configuración. Pide a quien mantiene el servidor que conserve los registros antes de borrar nada, que revise el servidor entero y que cambie las contraseñas guardadas en él. En España, el 017, la línea de ayuda en ciberseguridad de INCIBE, atiende gratis a empresas y autónomos.

El mensaje para tu proveedor

Si el servidor lo mantiene otra persona, puedes copiar este mensaje:

Hola: Collabora ha publicado un aviso sobre un fallo ya explotado en la app «Collabora Online - Built-in CODE Server» de Nextcloud (CVE-2026-110447, 14 de octubre de 2026). ¿Me confirmas cuatro cosas? 1) Si nuestro Nextcloud tiene esa app instalada, aunque esté desactivada, y en qué versión. 2) Si ya está en la 26.4.303 o posterior, o si la vas a eliminar. 3) Qué versión de Nextcloud tenemos y si sigue teniendo soporte. 4) Si la comprobación de integridad muestra archivos de más en richdocumentscode y si hay peticiones a proxy.php?status en los registros desde el 10 de septiembre. Gracias.

Tener la nube en casa, o en un servidor propio, da control sobre los datos a cambio de una tarea fija: actualizar todo lo que se instala, también lo que ya no se usa. Lo explicamos en la guía sobre nube privada para una pyme, y es la misma lección que dejó la semana pasada el fallo de Plex en el NAS.

Lista para esta semana

1. Averigua si tu Nextcloud tiene instalada la app Collabora Online - Built-in CODE Server, activada o no.
2. Si la tiene, que se actualice a la última versión o se elimine.
3. Comprueba la versión de Nextcloud: la 29 o anteriores ya no tienen soporte.
4. Revisa la Vista general de la administración por si avisa de archivos que no pasan la comprobación de integridad.
5. Pide que se revisen los registros del servidor web desde el 10 de septiembre.
6. Haz una lista de las apps instaladas y elimina las que nadie usa.