ONLYOFFICE Docs: fallo crítico CVE-2021-3199 ya explotado

ONLYOFFICE Docs: fallo crítico CVE-2021-3199 ya explotado

Qué es CVE-2021-3199 y a quién afectaONLYOFFICE Docs, la suite ofimática autoalojada que muchas empresas usan para editar documentos en línea dentro d...

Qué es CVE-2021-3199 y a quién afecta

ONLYOFFICE Docs, la suite ofimática autoalojada que muchas empresas usan para editar documentos en línea dentro de su propia infraestructura, arrastra una vulnerabilidad catalogada como CVE-2021-3199. Según la NVD del NIST, se trata de un fallo de salto de directorio (CWE-22) con ejecución remota de código que afecta a ONLYOFFICE Document Server en versiones anteriores a la 5.6.3 (sin incluir esta última).

Puerta entreabierta en un pasillo de servidores que deja pasar flechas hacia documentos, metáfora del path traversal en ONLYOFFICE Docs

El problema aparece cuando la instancia funciona con JWT activado y se envía una secuencia /.. dentro de un parámetro de subida de imagen en la ruta /upload. Esa manipulación permite escapar del directorio previsto y, según la descripción de CISA, puede derivar en ejecución remota de código. La gravedad asignada es CVSS 3.1 de 9.8 (CRITICAL), con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H: atacable por red, sin privilegios y sin interacción del usuario.

Esto afecta de lleno a pymes, comercios online y empresas con servidores propios o un equipo de IT reducido que hayan desplegado ONLYOFFICE Docs para integrarlo con su intranet, su gestor documental o su plataforma de comercio electrónico. Cuanto más expuesta esté la instancia a internet, mayor es el riesgo.

Por qué es urgente: ya se explota en ataques reales

No estamos ante una vulnerabilidad teórica. CISA añadió CVE-2021-3199 a su catálogo KEV (Known Exploited Vulnerabilities) el 8 de octubre de 2026, lo que confirma que se está explotando en ataques reales. Aunque la publicación original en la NVD data del 26 de enero de 2021, el fallo sigue siendo una amenaza activa para quien no haya actualizado.

El plazo que CISA da a las agencias federales de EE. UU. para corregirla vence el 11 de octubre de 2026, apenas tres días después de la inclusión. Esa urgencia debería trasladarse también al sector privado: una ventana tan corta indica que el riesgo de explotación es inmediato. En el material consultado no consta uso conocido en campañas de ransomware, pero eso no reduce la gravedad de un fallo con ejecución remota de código.

Qué hacer hoy

  • Comprueba si usas ONLYOFFICE Docs y en qué versión. Si tu instancia es anterior a la 5.6.3, estás dentro del rango afectado. Revisa también si tienes JWT activado, porque es la condición que describe el fallo.
  • Aplica la actualización o mitigación según el aviso del fabricante. Las notas de la versión 5.6.3 publicadas por ONLYOFFICE son la referencia oficial. Si no puedes actualizar de inmediato, sigue las instrucciones de mitigación que indique el fabricante y, si no hay mitigación disponible, valora seriamente discontinuar el servicio expuesto.
  • Revisa indicios de intrusión. Busca peticiones anómalas a la ruta /upload con secuencias /.. en parámetros de imagen, ficheros inesperados en el servidor y actividad fuera de lo habitual en la cuenta de servicio de la aplicación.
  • Reduce lo expuesto a internet. Si ONLYOFFICE Docs no necesita ser accesible públicamente, ciérralo tras una VPN o una lista de permitidos. Evalúa la exposición real de cada activo antes de decidir prioridades, tal como plantea la guía BOD 26-04 de CISA.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes y comercios online de Lleida, Barcelona, Tarragona y Girona que no siempre tienen un departamento de IT dedicado. Ante un aviso como este, lo primero es saber con certeza qué software corre en tu infraestructura y en qué versión, algo que muchas empresas no tienen documentado.

Nuestro enfoque de ciberseguridad para empresas pasa por detectar y cerrar vulnerabilidades antes de que las exploten: auditorías de seguridad y pentesting, hardening de servidores, monitorización y respuesta a incidentes, mantenimiento y actualización de WordPress, PrestaShop y Joomla, y reparación de webs hackeadas. En un caso como CVE-2021-3199, eso se traduce en localizar la instancia afectada, aplicar la actualización indicada por el fabricante, revisar si ha habido accesos sospechosos y dejar el servicio configurado con la mínima superficie expuesta posible, en línea con el RGPD y la LOPDGDD.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.