CVE-2026-110447: Colabora Online – Vulnerabilidad de Inyección de Comandos del Sistema Operativo en el Servidor CODE Integrado

BleepingComputer informa que actores de amenaza están explotando una falla crítica de ejecución de comandos, ahora rastreada como CVE-2026-110447, en la aplicación Colabora Online - Built-in CODE Server (richdocumentscode) para Nextcloud.[2]eSecurity Planet informa que el aviso de seguridad de Colabora señaló que la falla permite que un atacante no autenticado ejecute comandos del sistema operativo con los privilegios de la cuenta del servidor web cuando el servidor CODE local está sin conexión.[1] Según IONIX, la falla tiene una puntuación base CVSS v4.0 de 9.2 (Crítica)[3]. eSecurity Planet dice que el proveedor corrigió el problema en la versión 26.4.303 y advirtió que deshabilitar la aplicación no es suficiente. Los administradores deben actualizarla o eliminarla. Los servidores Colabora Online independientes no se ven afectados.[1]Aviatrix informa que Colabora parcheó la vulnerabilidad en la versión 26.4.303 el 11 de septiembre, pero el aviso de seguridad no se publicó hasta el 14 de octubre[4]. BleepingComputer dice que Colabora culpó del retraso principalmente a los trabajos pendientes de procesamiento de CVE de GitHub, que según dijo estaban bajo presión por volúmenes crecientes de informes de seguridad impulsados por IA.[2]SecurityOnline informa que los atacantes buscaron *.kdbx, wallet.dat, keystore.json, Bitwarden, 1Password, y directorios de Bitcoin, Monero o Ethereum.[5] eSecurity Planet dice que los informes revisados por la publicación no mostraron que los atacantes obtuvieran acceso de raíz.[1]Según WindowsForum, la alerta de CISA tiene fecha del 23 de octubre de 2026[6], y el catálogo KEV de CISA enumera una fecha de vencimiento del 26 de octubre de 2026 para esta entrada.[6]ThreatWire informa que los mantenedores de Colabora también recomendaron eliminar archivos PHP inesperados en el directorio de la aplicación, incluyendo nombres que coincidan con shx*.php.[7]