CISA alerta de fallo explotado en CODE integrado de Collabora; corregido desde 26.4.303

CISA añadió CVE-2026-110447 a su catálogo de vulnerabilidades explotadas el 23 de octubre, citando explotación activa. El aviso de Collabora identifica la app Collabora Online Built-in CODE Server para Nextcloud, paquete richdocumentscode, en versiones anteriores a 26.4.303. OrangeX.com Security.

Alcance y corrección

El fallo permite ejecutar comandos del sistema como usuario del servidor web sin autenticación mientras CODE integrado no está funcionando, incluso tras reinicio, actualización o caída. Collabora dice que desactivar la app no basta: hay que actualizar a 26.4.303 o posterior, o eliminarla. Los servidores Collabora Online independientes no están afectados. Con Nextcloud 29 o anterior debe actualizarse Nextcloud o eliminar esta app. OrangeX.com News.

OrangeX.com Analysis

Los equipos con documentos operativos en servidores de colaboración expuestos deben identificar su despliegue y versión. El parche cierra el fallo documentado, pero no demuestra ausencia de intrusión previa. Revisen indicios de compromiso junto con la corrección. Los avisos no acreditan una brecha en plataformas de criptomonedas ni pérdidas de activos cuantificadas. OrangeX.com Trust Center.