Los hackers aprovechan una vulnerabilidad de ejecución remota de código (RCE) en Collabora para introducir puertas traseras en los servidores de Nextcloud

Ci­ber­de­lin­cuen­tes están apro­ve­chan­do una vul­ne­ra­bi­li­dad crí­ti­ca de eje­cu­ción de co­man­dos, re­gis­tra­da como CVE-2026-110447, pre­sen­te en la apli­ca­ción in­te­gra­da de ser­vi­dor CODE de Co­lla­bo­ra para Next­cloud. Los ad­mi­nis­tra­do­res de­tec­ta­ron que estas agre­sio­nes co­men­za­ron a me­dia­dos de sep­tiem­bre, se­ma­nas antes de que se pu­bli­ca­ra el bo­le­tín de se­gu­ri­dad y el aviso ofi­cial. El fallo de in­yec­ción de co­man­dos en el sis­te­ma ope­ra­ti­vo afec­ta a las ver­sio­nes an­te­rio­res a la 26.4.303 del com­ple­men­to y se des­en­ca­de­na me­dian­te pe­ti­cio­nes ma­li­cio­sas a un punto final es­pe­cí­fi­co, sin re­que­rir au­ten­ti­ca­ción ni in­ter­ac­ción pre­via, siem­pre que el ser­vi­dor in­te­gra­do esté de­te­ni­do.

Du­ran­te estas ac­cio­nes ma­li­cio­sas, los ata­can­tes han ins­ta­la­do webshells de PHP con el fin de lo­ca­li­zar bi­lle­te­ras de crip­to­mo­ne­das, bases de datos de con­tra­se­ñas y ele­men­tos de ad­mi­nis­tra­do­res de cre­den­cia­les. Asi­mis­mo, al­gu­nos usua­rios se­ña­la­ron que gru­pos de ran­som­wa­re es­ta­rían usan­do este mismo fallo, aun­que esta in­for­ma­ción no pudo ser con­fir­ma­da de forma in­de­pen­dien­te. Como me­di­da de mi­ti­ga­ción, se acon­se­ja a los ad­mi­nis­tra­do­res ac­tua­li­zar la apli­ca­ción a la ver­sión 26.4.303 o eli­mi­nar­la por com­ple­to si no se uti­li­za, ad­vir­tien­do que la sim­ple des­ac­ti­va­ción no es su­fi­cien­te.

La de­mo­ra en la pu­bli­ca­ción for­mal del iden­ti­fi­ca­dor CVE di­fi­cul­tó la de­fen­sa de los sis­te­mas y evi­den­ció una bre­cha entre las co­rrec­cio­nes de se­gu­ri­dad y las no­ti­fi­ca­cio­nes ofi­cia­les. In­ves­ti­ga­do­res se­ña­la­ron que el in­cre­men­to en los re­por­tes de vul­ne­ra­bi­li­da­des im­pul­sa­dos por in­te­li­gen­cia ar­ti­fi­cial está sa­tu­ran­do los pro­ce­sos de asig­na­ción de CVE, pro­vo­can­do re­tra­sos sig­ni­fi­ca­ti­vos donde los có­di­gos de ex­plo­ta­ción pú­bli­ca sur­gen mucho antes que los avi­sos for­ma­les. Tanto Co­lla­bo­ra como Next­cloud jus­ti­fi­ca­ron la de­mo­ra en la di­vul­ga­ción ar­gu­men­tan­do que bus­ca­ban dar tiem­po a los usua­rios para ac­tua­li­zar sus sis­te­mas y mi­ni­mi­zar el im­pac­to.