La CISA ha metido en su catálogo KEV una vulnerabilidad Collabora Online que ya se está explotando contra servidores Nextcloud. El fallo, CVE-2026-110447, tiene una puntuación CVSS de 9,2 y permite a un atacante sin autenticar ejecutar comandos en el sistema operativo. Las agencias federales de Estados Unidos tienen hasta el próximo lunes 26 de octubre para parchear.
El matiz que casi nadie mira: el fallo solo se explota con el servidor CODE detenido
El vector es una inyección de comandos de sistema operativo en proxy.php, el script que hace de puente entre Nextcloud y el servidor de Collabora Online – Built-in CODE Server. Hasta la versión 26.4.302, ese archivo metía datos de la petición en un comando Bash sin sanear. Resultado: cualquiera con acceso a la URL podía ejecutar órdenes con los privilegios del usuario del servidor web.
Sin credenciales. Sin autenticación previa.
Hay una condición que conviene leer dos veces. La explotación solo es posible con el servidor CODE local detenido: un reinicio, una actualización, una caída. En esa ventana, el script corre directamente a través del servidor web sin cargar el código de Nextcloud. Los servidores Collabora independientes no se ven afectados. Según el registro del CVE, la explotación quedó confirmada en producción durante septiembre y octubre de 2026.
Tres administradores lo reportaron en GitHub, y el primero lo hizo con los registros en la mano: la misma IP atacó el 10 y el 11 de septiembre, siempre contra proxy.php en la versión 26.4.302. Los atacantes dejaron una web shell en PHP y peinaron almacenes de credenciales y monederos de criptomonedas. No aparecieron comandos de exfiltración en los logs revisados, pero todo lo accesible a la cuenta del servidor web debe darse por comprometido.
Los otros dos casos repiten el patrón y ninguno encontró evidencia de acceso root. Después de actualizar a la 26.4.303, uno de ellos registró un nuevo intento el 14 de septiembre: esta vez no apareció ninguna shell. El mantenedor pide borrar los archivos residuales shx*.php además de aplicar el parche. Es la parte del oficio que casi nadie ejecuta, la limpieza posterior.
Una web shell olvidada sigue siendo una puerta abierta aunque el parche esté puesto y el certificado renovado.
Le adelanto algo que vengo repitiendo desde hace años: los incidentes del catálogo KEV rara vez empiezan con un zero-day espectacular. Empiezan con un servicio expuesto y sin actualizar. En España la superficie es amplia: Nextcloud está desplegado en universidades, en despachos de abogados, en administraciones locales, y en no pocas empresas medianas que montaron su nube privada cuando Bruselas empezó a hablar de soberanía digital.
El CCN-CERT mantiene su propio catálogo de vulnerabilidades explotadas y recomienda aplicar los parches del fabricante con prioridad alta. No se equivoque conmigo: un módulo de edición es la joya de una nube corporativa, porque por ahí pasan los contratos, los balances y las actas. Todo producto instalado on-premise y sin actualizar entra en su radar.
Del primer registro el 10 de septiembre al plazo del 26 de octubre: cronología de una explotación silenciosa
La secuencia no deja mucho margen, según la información publicada por Security Affairs. Ataques el 10 y el 11 de septiembre, aviso en GitHub, parche en la 26.4.303, un intento nuevo el 14. Y ahora la CISA suma el CVE a su catálogo de vulnerabilidades explotadas conocidas. Ese catálogo es la lista de lo que ya se ha roto en producción, no un boletín informativo.
Bajo la directiva BOD 22-01, cualquier agencia del ramo ejecutivo federal estadounidense que tenga el producto afectado está obligada a remediarlo antes de la fecha límite. Aquí, el 26 de octubre. Pasado mañana. El plazo para las agencias federales vence el 26 de octubre y esa es la diferencia entre un aviso de seguridad y una orden administrativa.
Ahora la advertencia de oficio: no hay atribución pública del ataque. Sabemos que hubo web shells, que se peinaron credenciales y monederos, que la misma IP repitió en septiembre. No sabemos quién. El interés por las carteras de criptomonedas apunta a un actor oportunista más que a un APT con patrocinio estatal, pero eso es una lectura mía, no un dato técnico consolidado.
El número total de servidores comprometidos sigue sin conocerse, y es la cifra que importa. Con ProxyLogon, la oleada que en 2021 dejó expuestos cientos de miles de servidores de Microsoft Exchange en todo el mundo, el recuento tardó semanas en estabilizarse y nunca se cerró del todo. El inventario de daños siempre llega tarde y siempre incompleto.
Se trata del módulo que Nextcloud empaqueta para editar documentos en el navegador sin Microsoft Office; hay contexto técnico en la entrada de Nextcloud en Wikipedia. Que el fallo viva en un componente de terceros —Collabora, LibreOffice por debajo— añade un riesgo que los equipos suelen subestimar: el parche depende de un proyecto que no es el tuyo.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: inyección de comandos sin autenticación previa sobre un componente de terceros integrado en Nextcloud. No hay puerta trasera ni día cero de por medio: el defecto es de sanitización, el exploit ya circula y la condición de explotación —servidor CODE detenido— se produce sola en cualquier mantenimiento rutinario. Ahí está la trampa: el momento de mayor exposición de esta arquitectura es precisamente el de su actualización.
Las agencias implicadas se reparten en tres planos. Quien ataca: sin atribución pública, con indicios de actor oportunista dedicado a desplegar web shells y cosechar credenciales. Quien defiende: la CISA en el plano normativo y el equipo de Collabora y Nextcloud en el técnico. Quien mira: los socios de Five Eyes, que suelen replicar los plazos del catálogo KEV, y la ENISA en el ámbito europeo. El CNI y el CCN-CERT no figuran en la cadena, pero vigilan de cerca todo lo que se instala en infraestructura española.
Mi estimación de clasificación para el material expuesto es Reservado en la mayoría de las organizaciones afectadas, y Sin Clasificar pero Sensible cuando el servidor aloja documentación de terceros. Los archivos de configuración robados no son Top Secret. Abren la puerta a todo lo demás, y eso en el oficio se llama acceso.
El precedente que me viene a la cabeza no es Stuxnet ni SolarWinds, sino el de los administradores que parchean el lunes y no borran la shell. Parchear sin limpiar solo cambia el nombre del problema. Lo escribí hace años en El quinto elemento: el próximo 11S empezará con un clic. La variante de 2026 es menos cinematográfica y más realista: empieza con un mantenedor pidiendo en GitHub que alguien se acuerde de eliminar un archivo php.
El resto del mundo no tiene plazo. Tiene costumbre.
Verá usted cómo la próxima vez que se reinicie el servidor de documentos de su organización, alguien mirará los logs. O no. El 26 de octubre vence el plazo para las agencias federales estadounidenses; para todos los demás, la fecha razonable era ayer.
