Nextcloud bajo ataque activo por falla crítica en servidor colaborativo integrado

CISA catalogó CVE-2026-110447 tras confirmarse explotación desde septiembre — atacantes desplegaron shells web y buscaron credenciales en servidores sin parchear

La Agencia de Ciberseguridad e Infraestructura de Estados Unidos incorporó el 25 de octubre una vulnerabilidad crítica de Nextcloud a su catálogo de fallas explotadas activamente. CVE-2026-110447 permite a atacantes no autenticados ejecutar comandos arbitrarios en servidores que usan Collabora Online con el servidor CODE integrado, una configuración habitual en despliegues de desarrollo. La falla tiene un puntaje CVSS de 9.2 y afecta exclusivamente a versiones anteriores a 26.4.303 de la Development Edition — los servidores Collabora independientes no están comprometidos. Tres administradores reportaron la vulnerabilidad en GitHub tras detectar intrusiones en sus sistemas, con el primer ataque documentado el 10 de septiembre de 2026.

Cómo una falla de sanitización en proxy.php abrió la puerta a ejecución remota

El problema reside en proxy.php, un script que en versiones hasta 26.4.302 incluía datos de solicitud HTTP directamente en comandos Bash sin validación. Cuando el servidor CODE integrado está detenido — durante un reinicio, actualización o caída — el script se ejecuta a través del servidor web sin cargar el código de Nextcloud, eliminando cualquier capa de protección intermedia. Un atacante puede inyectar comandos del sistema operativo que se ejecutan con los privilegios del usuario del servidor web.

La explotación requiere que el servidor local CODE no esté corriendo, una ventana que se abre en operaciones rutinarias de mantenimiento. Los atacantes que identificaron esta condición lograron desplegar shells web PHP y acceder a archivos de configuración que contenían credenciales de aplicaciones y secretos. Aunque los registros revisados no mostraron comandos de exfiltración masiva, cualquier dato accesible a la cuenta del servidor web debe considerarse potencialmente expuesto.

Patrón de ataque: shells persistentes y búsqueda de billeteras de criptomonedas

El primer administrador en reportar la intrusión detectó solicitudes maliciosas el 10 y 11 de septiembre desde la misma dirección IP, todas dirigidas a proxy.php en la versión vulnerable. Los atacantes desplegaron una shell web PHP y ejecutaron búsquedas en uno de los servidores comprometidos, apuntando específicamente a almacenes de credenciales y billeteras de criptomonedas. Ninguno de los tres administradores que reportaron incidentes encontró evidencia de acceso root, lo que sugiere que los atacantes se limitaron a los privilegios del servidor web — suficientes para leer configuraciones sensibles y mantener persistencia.

Después de actualizar a la versión 26.4.303, uno de los administradores registró un nuevo intento de explotación el 14 de septiembre, pero no se detectó ninguna shell adicional. El mantenedor del proyecto instó a los usuarios a actualizar de inmediato y eliminar manualmente cualquier archivo shx*.php residual, el patrón de nomenclatura usado por las shells desplegadas. El registro CVE confirma explotación activa en septiembre y octubre de 2026, pero se desconoce el número total de servidores comprometidos.

Exposición en América Latina: desarrollo colaborativo sin aislamiento de red

La vulnerabilidad afecta únicamente a la Development Edition con despliegue de servidor CODE integrado, una configuración común en equipos de desarrollo que buscan entornos colaborativos rápidos sin infraestructura separada. En Argentina, Brasil y México, donde startups tecnológicas y equipos de desarrollo remoto adoptaron Nextcloud como alternativa a servicios en la nube de terceros, esta modalidad de despliegue es frecuente — especialmente en organizaciones que priorizan control de datos sobre complejidad operativa. La falta de segmentación de red en muchos de estos entornos amplifica el riesgo: un servidor de desarrollo comprometido puede convertirse en punto de entrada a redes corporativas si no está aislado adecuadamente.

No hay reportes públicos de incidentes en la región vinculados específicamente a CVE-2026-110447, pero la ventana de explotación entre septiembre y octubre coincide con el período de mayor actividad de desarrollo en el segundo semestre del año. Equipos que actualizaron Nextcloud durante ese lapso sin aplicar el parche 26.4.303 quedaron expuestos durante semanas.

CVE-2026-110447 ilustra un patrón recurrente en aplicaciones web que delegan funciones críticas a scripts auxiliares sin heredar las capas de seguridad del framework principal. Cuando proxy.php se ejecuta directamente a través del servidor web — sin pasar por el código de Nextcloud — pierde toda validación de entrada que el framework podría haber aplicado. Este tipo de falla no es nueva: casos similares en WordPress, Joomla y otros CMS han demostrado que los scripts de utilidad son vectores de ataque subestimados, especialmente cuando se ejecutan en contextos donde el servidor principal está temporalmente inactivo.

La decisión de CISA de catalogar la vulnerabilidad antes de la fecha límite de corrección (26 de octubre) refleja la confirmación de explotación activa y la disponibilidad de un parche desde hace más de un mes. Lo que no se sabe aún es cuántos servidores quedaron comprometidos sin que los administradores lo detectaran — las shells web desplegadas son persistentes y pueden permanecer activas incluso después de aplicar el parche si no se eliminan manualmente. ¿Cuántos equipos de desarrollo en la región están ejecutando código de atacantes sin saberlo porque nunca revisaron la presencia de archivos shx*.php en sus directorios web?