Nextcloud et Collabora : la faille CVE-2026-110447 est déjà exploitée, que vérifier

De nombreuses PME utilisent Nextcloud comme cloud d'entreprise pour les fichiers, les agendas et les documents partagés, souvent installé sur leur propre serveur ou sur un VPS. Si vous avez activé l'édition de documents dans le navigateur avec l'app optionnelle « Collabora Online - Built-in CODE Server » (nom technique richdocumentscode), vérifiez dès maintenant la version installée : une vulnérabilité critique de cette app, CVE-2026-110447, permet d'exécuter des commandes sur le serveur sans authentification, et elle a déjà été exploitée.

Le 23 octobre 2026, l'agence américaine CISA l'a ajoutée à son catalogue des vulnérabilités activement exploitées. Voici les faits vérifiés, qui est concerné et que faire.

Ce qui s'est passé

Selon l'avis de sécurité de Collabora, publié le 14 octobre 2026, le script proxy.php de l'app peut être amené à exécuter une commande du système d'exploitation avec les droits de l'utilisateur du serveur web. Aucun identifiant ni aucune interaction de l'utilisateur ne sont nécessaires. Le score CVSS 4.0 est de 9,2 sur 10, niveau critique.

Il y a une condition : l'attaque ne fonctionne que lorsque le serveur CODE intégré n'est pas en cours d'exécution, par exemple pendant le redémarrage d'un conteneur, pendant une mise à jour ou après un plantage. La fenêtre est limitée, mais elle se rouvre à chaque redémarrage.

La correction était disponible depuis le 11 septembre 2026 avec la version 26.4.303 de l'app, mais sans avis de sécurité. L'identifiant CVE n'a suivi que le 14 octobre. Collabora explique sur son blog que ce retard est surtout dû aux délais de traitement des CVE chez GitHub, ralentis par le grand volume de signalements de sécurité générés avec l'intelligence artificielle.

L'état de la menace

La fiche de la vulnérabilité dans la base NVD indique que la faille a été exploitée en septembre et en octobre 2026. Selon des témoignages d'administrateurs rapportés par BleepingComputer et The Hacker News, la première attaque enregistrée date du 10 septembre 2026, le lendemain de la publication de la correction dans le code source. Les attaquants ont déposé de petits fichiers PHP servant de porte d'entrée (web shells) et s'en sont servis pour chercher des bases de mots de passe et des portefeuilles de cryptomonnaies. Le nombre de serveurs touchés n'est pas connu.

Le 3 octobre, un utilisateur du forum officiel de Nextcloud avait déjà appelé à mettre à jour, car la faille était exploitée et aucun avis public n'existait encore.

Qui est concerné

• Concerné : quiconque a installé l'app « Collabora Online - Built-in CODE Server » (richdocumentscode) dans une version antérieure à 26.4.303.
• Non concerné, selon Collabora : les serveurs Collabora Online autonomes, les images Docker, les paquets RPM/DEB et Nextcloud All-in-One, ainsi que les installations qui utilisent un service Collabora hébergé.

Collabora souligne que l'app intégrée vise surtout les utilisateurs privés, n'est pas sa méthode d'installation recommandée et n'est utilisée que par une minorité d'utilisateurs de Nextcloud. Dans la pratique, on la trouve pourtant aussi dans de petites installations d'entreprise, justement parce que c'est le moyen le plus rapide d'éditer des documents Office dans Nextcloud.

Un point important : désactiver l'app ne suffit pas. Le script vulnérable reste dans le dossier de l'app et peut être appelé directement. L'app doit être mise à jour vers la version 26.4.303 ou ultérieure, ou supprimée.

Que faire maintenant

1. Vérifier l'installation

Dans l'administration de Nextcloud, sous Applications, vérifiez si « Collabora Online - Built-in CODE Server » est présente et dans quelle version. Si votre Nextcloud est géré par un prestataire, demandez-lui par écrit si l'app est installée et à jour.

2. Mettre à jour ou supprimer

Mettez l'app à jour vers la version 26.4.303 ou ultérieure. Les versions corrigées nécessitent Nextcloud 30 ou ultérieur : dans l'app store de Nextcloud, à la date de cet article, la version 26.4.502 est disponible pour Nextcloud 30 à 35, tandis que Nextcloud 29 et antérieur se voient encore proposer une version vulnérable. Nextcloud 29 et antérieur ne reçoivent plus de mises à jour : dans ce cas, mettez Nextcloud à niveau ou supprimez l'app. Si vous n'utilisez pas l'édition de documents dans le navigateur, le plus simple est de la désinstaller.

3. Vérifier si le serveur a été compromis

La mise à jour ferme la faille, mais n'annule pas une intrusion déjà réalisée. Si l'app vulnérable était installée et que le serveur est accessible depuis internet :

1. Lancez le contrôle d'intégrité de Nextcloud (Paramètres d'administration, Vue d'ensemble) : il signale les fichiers PHP qui ne font pas partie du paquet officiel. Dans l'un des cas rapportés sur le forum, c'est ce contrôle qui a révélé la web shell.
2. Recherchez des fichiers PHP inattendus dans le dossier de l'app et dans le reste de l'installation.
3. Examinez les journaux d'accès du serveur web au moins depuis le 10 septembre 2026, en particulier les requêtes vers le script proxy.php de l'app.
4. Si vous trouvez des traces de compromission, considérez comme exposé tout ce que l'utilisateur du serveur web pouvait lire : changez le mot de passe de la base de données et les autres identifiants de la configuration de Nextcloud, y compris ceux de la messagerie, et envisagez une restauration à partir d'une sauvegarde saine.

4. Réduire l'exposition à l'avenir

Pour un usage professionnel, un serveur Collabora séparé est préférable à l'app intégrée, et l'accès à Nextcloud devrait être limité, si possible, par VPN ou authentification multifacteur (voir les cinq niveaux de sécurité des accès de l'OFCS). Le cas confirme aussi un point soulevé par les failles PHP de cette semaine : les mises à jour doivent être installées régulièrement, même lorsqu'elles ne sont pas accompagnées d'un avis de sécurité.

Obligations de signalement en Suisse

Si un serveur contenant des données de clients ou de collaborateurs a été compromis, des aspects juridiques entrent aussi en jeu :

• Protection des données (nLPD) : une violation de la sécurité des données entraînant vraisemblablement un risque élevé pour les personnes concernées doit être annoncée dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence (PFPDT), selon l'art. 24 LPD. Le PFPDT met à disposition un formulaire en ligne et un guide.
• Infrastructures critiques : depuis le 1er avril 2025, les exploitants d'infrastructures critiques, y compris les administrations cantonales et communales, doivent signaler les cyberattaques à l'OFCS dans les 24 heures suivant leur détection.
• Pour toutes les autres entreprises, le signalement à l'OFCS est volontaire mais utile : le formulaire en ligne fournit aussi une première évaluation du cas.

L'étude « PME Cybersécurité 2026 » a montré que la préparation organisationnelle, c'est-à-dire savoir qui fait quoi en cas d'incident, est le point faible de nombreuses PME.

Questions fréquentes

J'utilise Nextcloud : suis-je automatiquement à risque ?

Non. La faille concerne uniquement l'app optionnelle « Collabora Online - Built-in CODE Server ». Nextcloud lui-même et les serveurs Collabora installés séparément ne sont pas concernés.

J'ai désactivé l'app : est-ce suffisant ?

Non. Selon Collabora, la désactiver ne suffit pas : l'app doit être mise à jour vers la version 26.4.303 ou ultérieure, ou supprimée.

J'ai mis à jour en septembre : dois-je faire autre chose ?

La première attaque documentée date du 10 septembre, avant la sortie de la version corrigée. Si l'app vulnérable était installée à ce moment-là, il vaut la peine de lancer le contrôle d'intégrité et de consulter les journaux.

Mon Nextcloud est géré par un prestataire : que faire ?

Demandez-lui une confirmation écrite que l'app intégrée n'est pas installée ou qu'elle est à jour, et si des contrôles ont été effectués pour détecter une éventuelle compromission.

Notre approche

ElaraTeq Sagl exploite des sites et des applications pour des PME et des collectivités publiques au Tessin avec un hébergement en Suisse. Nous pouvons vérifier votre installation Nextcloud, mettre à jour ou supprimer l'app vulnérable et contrôler l'intégrité du serveur. Pour la maintenance continue, il y a le service décrit dans Orbit ; pour une vérification, contactez-nous.

Sources

• Collabora, avis de sécurité « Unauthenticated OS command injection in the richdocumentscode proxy », 14 octobre 2026 : GHSA-g3vx-3m76-fghh
• Collabora, « Stay Safe: Upgrade Everything Regularly », 15 octobre 2026 : collaboraonline.com
• NIST NVD, CVE-2026-110447 ; CVE Program, CVE-2026-110447
• CISA, « CISA Adds One Known Exploited Vulnerability to Catalog », 23 octobre 2026 : cisa.gov
• Nextcloud Community, « To Collabora Built-in User: Update ASAP », 3 octobre 2026 : help.nextcloud.com
• Nextcloud App Store, Collabora Online - Built-in CODE Server (versions disponibles, consulté le 24 octobre 2026)
• BleepingComputer, 15 octobre 2026 : Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers ; The Hacker News, 14 octobre 2026 : Hackers Backdoor Nextcloud Servers
• PFPDT, annonce des violations de la sécurité des données ; OFCS, obligation de signaler les cyberattaques contre des infrastructures critiques