Si tenés un Nextcloud propio, la verificación es corta y conviene hacerla hoy: andá a las aplicaciones y mirá si está instalada "Collabora Online - Built-in CODE Server", cuyo nombre interno es richdocumentscode.
Si está, hay dos cosas que decir, y la segunda es la que se suele hacer mal:
Primero: la versión corregida es la 26.4.303. Todo lo anterior es vulnerable, y según el registro de NVD esto se explotó en septiembre y en octubre de 2026.
Segundo, y es el punto del título: desactivar la app no alcanza. Lo dice el aviso de Collabora con todas las letras. Las dos salidas válidas son actualizar a 26.4.303 o posterior, o quitar la app.
Y la buena noticia para una parte de los lectores: si usás Collabora de cualquier otra forma —un servidor Collabora aparte, un contenedor, un paquete de tu distribución, o un Collabora gestionado por un proveedor— esto no te toca. La falla no está en Collabora. Está en el pegamento.
Qué está vulnerable y qué no, según el aviso de Collabora
El motivo de que la diferencia sea tan tajante está en qué hace la app integrada. Collabora Online, por separado, es un servidor de edición de documentos. La app Built-in CODE Server empaqueta ese servidor dentro de Nextcloud y lo arranca desde PHP: el aviso de la comunidad de Nextcloud lo describe como que la app lanza Collabora con un exec de PHP.
Ese arranque pasa por un archivo llamado proxy.php, y ahí está la falla. El aviso de Collabora lo resume en una línea: una petición puede hacer que se ejecute un comando del sistema operativo con el usuario del servidor web. Sin autenticación: el vector CVSS dice PR:N y UI:N, o sea sin privilegios previos y sin que nadie tenga que hacer clic en nada.
Por eso un servidor Collabora normal no está afectado: no hay un proxy.php de Nextcloud arrancándolo.
La ventana de CVE-2026-110447 se abre cuando el CODE Server está caído
Esta es la parte contraintuitiva, y conviene entenderla porque cambia cómo se busca el rastro.
El aviso dice que el ataque solo funciona mientras el servidor CODE no está corriendo, y da los ejemplos: el reinicio de un contenedor, una actualización, una caída. En funcionamiento normal, la petición no llega al camino vulnerable.
Eso tiene una consecuencia incómoda: que el servicio funcione bien hoy no dice nada sobre lo que pasó durante el último reinicio. Y explica por qué el aviso insiste en que desactivar la app no mitiga del todo: desactivarla es, justamente, dejar el servidor CODE sin correr.
Por qué el parche de CVE-2025-66208 no cubre a CVE-2026-110447
No es la primera vez que este componente tiene una ejecución de comandos en proxy.php. Unos 10 meses antes, en diciembre de 2025, salió CVE-2025-66208, de la misma clase y en el mismo archivo, corregida en la 25.04.702.
El aviso de Collabora es explícito en el punto que importa: esta falla va por un camino de código distinto, y el arreglo de la CVE anterior no la previene. Dicho de otro modo: haber parcheado en diciembre no sirve de nada acá. El registro de NVD lo confirma desde el otro lado, diciendo que es "una vulnerabilidad distinta de CVE-2025-66208".
Y de paso queda a la vista algo que vengo encontrando seguido: la falla vieja tiene puntaje primario de NVD y la nueva no. CVE-2025-66208 está en estado "Analyzed" con un 9,8 sobre CVSS 3.1 calculado por NVD. CVE-2026-110447 está en estado "Deferred", con un único 9,2 sobre CVSS 4.0 que aporta la fuente del registro, sin puntaje 3.1 y sin análisis propio de NVD. Es la misma situación de Siemens Software Center ayer: el número que se ve no es un segundo análisis independiente.
¿A quién afecta CVE-2026-110447?
A quien tenga Nextcloud autoalojado con la app del CODE Server integrado, y eso en la región es mucha gente, porque es la opción de un clic.
Si instalaste Nextcloud y querías editar documentos en el navegador, lo más probable es que hayas terminado con esta app: es la que no te obliga a levantar un segundo servidor. La facilidad es exactamente lo que la puso en tantos lugares.
Si sos una cooperativa, un estudio, una escuela o una PyME que eligió Nextcloud para no pagar licencias por usuario, estás en el grupo. El problema de fondo es el de siempre con lo autoalojado, y es el mismo que desarrollé en cuando el software es autoalojado, el parche es tuyo: no hay nadie del otro lado que lo haga por vos.
Si corrés una versión de Nextcloud que ya no tiene soporte, hasta la 29 inclusive, el aviso te da una instrucción distinta: actualizar Nextcloud o quitar la app.
Si tenés Nextcloud gestionado por un proveedor o Collabora en un servidor aparte, no te toca esta falla. Qué cubre el proveedor y qué te queda a vos es un tema en sí mismo, desarrollado en qué cubre el hosting en seguridad.
¿Quién puede ignorar el plazo del 26 de octubre?
El plazo del 26 de octubre —3 días desde que CISA dio de alta la ficha— obliga a las agencias federales civiles de Estados Unidos por la directiva que el catálogo cita. Si tenés una PyME en Latinoamérica, no te obliga.
Lo que no se ignora es lo otro: según el registro de NVD esto estuvo explotado en septiembre y en octubre, y el aviso de la comunidad de Nextcloud que CISA cita en la ficha dice que hubo usuarios que encontraron webshells en sus servidores. Eso no es un pronóstico, es un hecho reportado, y lleva 21 días a la vista: ese aviso se publicó el 3 de octubre, 11 días antes de que existiera el CVE y 20 días antes de que CISA sumara la ficha al catálogo.
Quien no tenga richdocumentscode instalado puede cerrar la página con tranquilidad: es la única condición que importa. Y quien use Collabora de cualquier otra manera también, que es la parte buena de esta noticia y la razón por la que vale decirlo temprano y no al final.
¿Cómo sé si mi Nextcloud tiene el CODE Server integrado?
Tres comprobaciones, de la más rápida a la más incómoda:
- Mirá las apps instaladas. En Nextcloud, en la sección de aplicaciones, buscá "Collabora Online - Built-in CODE Server". El nombre del paquete es
richdocumentscode. Si lo que tenés es solorichdocuments—el conector— y no estárichdocumentscode, no estás afectado. - Mirá la versión. Tiene que ser 26.4.303 o posterior. El aviso de la comunidad lo dice del otro lado: afectadas la 26.4.302 y anteriores.
- Si estabas en una versión vulnerable, buscá archivos PHP que no pusiste vos. Esta es la parte que no se puede saltear si el servidor estuvo expuesto, porque lo que se reportó son webshells, y una webshell es un archivo PHP que queda ahí y sigue funcionando después de que actualices.
Para la tercera, lo que sirve es comparar contra lo que debería haber: los archivos de Nextcloud y de las apps tienen una forma conocida, así que un .php con fecha reciente en un directorio de datos o de apps es anómalo por dónde está, no por su contenido. Mirar conducta y ubicación en lugar de firmas es la diferencia que explico en cuándo se justifica un EDR en una PyME y en la categoría de antivirus y EDR.
¿Qué hago si tengo richdocumentscode anterior a la 26.4.303?
En este orden:
- Actualizá la app a 26.4.303 o posterior. Es la salida recomendada por el aviso.
- Si no podés actualizar, quitá la app. No la desactives: el aviso dice que desactivarla no mitiga del todo. Las dos salidas que da son actualizar o remover.
- Si tu Nextcloud es una versión sin soporte (hasta la 29), actualizá Nextcloud o quitá la app. Es la indicación específica del aviso para ese caso.
- Buscá webshells antes de dar el tema por cerrado. Archivos
.phpinesperados, con fechas de modificación recientes, en directorios donde no debería haber código nuevo. - Si encontrás algo, tratá el servidor como comprometido. Un webshell significa ejecución de comandos con el usuario del servidor web: hay que asumir que pudo leer la configuración, y ahí suelen estar las credenciales de la base de datos. Es la lógica de reconstruir en lugar de parchear.
- Revisá que tu copia de seguridad sea recuperable y anterior a septiembre. Si la única copia es de octubre, puede tener el webshell adentro. Qué pedirle a una copia está en la categoría de backup y recuperación.
- Rotá credenciales: las de la base de datos de Nextcloud, las de administración y los tokens de aplicaciones.
El caso se parece bastante al de la falla de ownCloud con plazo de tres días, y por el mismo motivo: en el software que uno aloja, el reloj lo pone el atacante.
Una aclaración sobre las fuentes, y una sobre un conflicto de interés. Lo que sí pude leer: el aviso de seguridad GHSA-g3vx-3m76-fghh de Collabora Online, publicado el 14 de octubre, de donde salen el rango afectado, la versión corregida, el puntaje 9,2 con su vector, la condición de que el ataque solo funciona con el CODE Server caído, la advertencia de que desactivar no alcanza y la de que el arreglo de la CVE de 2025 no previene esta; la ficha de NVD de CVE-2026-110447 y la de CVE-2025-66208, de donde salen los estados, los puntajes y la explotación en septiembre y octubre; y el feed JSON del catálogo KEV, de donde salen el alta del 23 de octubre y el plazo del 26. El hilo de la comunidad de Nextcloud que CISA cita en la ficha es un aviso de un usuario de la comunidad, no un comunicado oficial de Nextcloud, y así lo trato: de ahí tomo el dato de las webshells encontradas y la descripción del exec de PHP, atribuidos como lo que son. Lo que no pude leer: la ficha de ENISA (EUVD-2026-100780), que devuelve un error de carga, y el issue 354 del repositorio, que responde 403 desde este entorno. El conflicto de interés: ese hilo nombra proveedores concretos de Collabora gestionado entre los no afectados, y uno de ellos es el único afiliado activo de este sitio, así que menciono la categoría sin reproducir la lista de nombres. Lo que no incluyo: el hilo también tiene una respuesta que promociona una herramienta externa de autodiagnóstico; no la enlazo ni la recomiendo, porque no pude verificar quién la hizo ni qué hace. Y no describo la petición que dispara la inyección.
Preguntas frecuentes sobre CVE-2026-110447 en Nextcloud
Desactivé la app. ¿Con eso estoy cubierto?
No. El aviso de Collabora dice explícitamente que desactivar la app no mitiga del todo, y el motivo encaja con la mecánica: el ataque funciona justamente cuando el servidor CODE no está corriendo, y desactivar la app es dejarlo sin correr. Las dos salidas que da el aviso son actualizar a 26.4.303 o posterior, o quitar la app. Si no vas a actualizar, removela.
Uso Collabora pero en un servidor aparte. ¿Me afecta?
No. El aviso es claro en que los servidores Collabora Online independientes no están afectados, y el registro de NVD dice lo mismo: "solo este despliegue con CODE Server está afectado". La falla no está en Collabora sino en el archivo proxy.php con el que la app integrada lo arranca desde PHP. Si usás richdocuments sin tener richdocumentscode instalado, si corrés Collabora en Docker o con un paquete de tu distribución, o si usás un Collabora gestionado por un proveedor, esta falla no te toca.
Ya parcheé la falla de Collabora de diciembre de 2025. ¿Eso me protege?
No, y conviene subrayarlo porque es un error fácil. CVE-2025-66208, de unos 10 meses antes, se corrigió en la versión 25.04.702 y era también una ejecución de comandos en proxy.php, pero el aviso de Collabora advierte que esta nueva falla va por un camino de código distinto y que el arreglo anterior no la previene. El registro de NVD lo dice del otro lado: es "una vulnerabilidad distinta de CVE-2025-66208". La versión que te saca de esta es la 26.4.303.
Mi Nextcloud funciona bien. ¿Significa que no me atacaron?
No prueba nada, por la condición de explotación. El ataque solo funciona mientras el servidor CODE está caído: después del reinicio de un contenedor, de una actualización o de una caída. Un servidor que hoy anda perfecto pudo haber sido atacado en cualquiera de esas ventanas desde septiembre. Por eso, si estuviste en una versión anterior a la 26.4.303 y el servidor era alcanzable, lo que corresponde es buscar archivos PHP que no pusiste vos y no quedarse con que el servicio responde.
¿Por qué el puntaje es 9,2 y no 10, si no necesita autenticación?
Porque el vector CVSS 4.0 incluye la condición de la ventana. El vector es CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H: no pide privilegios (PR:N) ni interacción del usuario (UI:N), pero lleva AT:P, que significa que el ataque tiene requisitos previos presentes. Ese requisito es que el CODE Server no esté corriendo. Vale aclarar de dónde sale el número: lo aporta la fuente del registro del CVE, no un análisis propio de NVD, cuya ficha para esta falla está en estado "Deferred" y no tiene puntaje primario.