Nextcloud : la faille du serveur Collabora intégré est exploitée, mise à jour urgente

En bref

• Le fait. Le 23 octobre 2026, la CISA a ajouté à son catalogue KEV la faille CVE-2026-110447 de l'application Nextcloud « Collabora Online – Built-in CODE Server », qui permet d'éditer des documents bureautiques directement dans Nextcloud. Un attaquant, sans compte, peut faire exécuter des commandes au serveur. Collabora a publié le correctif le 11 septembre et son avis le 14 octobre. Des serveurs sont attaqués depuis septembre. Source : avis de Collabora.
• Êtes-vous concerné ? Si votre entreprise, votre prestataire ou votre NAS héberge un Nextcloud sur lequel l'application « Built-in CODE Server » est installée, dans une version antérieure à 26.4.303. Cette application est surtout utilisée par les petites structures et les particuliers. Ne sont pas concernés : un serveur Collabora Online installé à part (paquets ou conteneur), Nextcloud All-in-One, les offres Collabora hébergées.
• Quoi faire :
  1. demandez dès aujourd'hui à votre informaticien ou à votre hébergeur si cette application est installée sur votre Nextcloud ;
  2. si oui, faites-la mettre à jour en 26.4.303 ou plus récent, ou supprimez-la ; la simple désactivation ne suffit pas ;
  3. si votre Nextcloud est trop ancien pour recevoir la version corrigée (version 29 ou antérieure), faites mettre à jour Nextcloud ou supprimer l'application ;
  4. si l'application vulnérable est restée en place depuis septembre, faites vérifier que le serveur n'a pas été compromis et, par précaution, changez les mots de passe et secrets stockés sur ce serveur.
• Urgence : immédiate. La faille est exploitée et les attaquants recherchent sur les serveurs piégés des mots de passe et des portefeuilles de cryptomonnaies.

Détail technique

Identifiants. CVE-2026-110447 (GHSA-g3vx-3m76-fghh côté Collabora, GHSA-f97p-r72q-64h2 dans la base GitHub). Injection de commandes système (CWE-78) sans authentification, score CVSS 4.0 de 9.2 selon Collabora. Pas d'avis CERT-FR identifié ; le CERT Santé a publié une alerte le 14 octobre 2026.

Nature de la faille. L'application télécharge et démarre localement un serveur CODE (Collabora Online Development Edition). Lorsque ce serveur n'est pas en cours d'exécution, par exemple après un redémarrage, une mise à jour ou un arrêt inattendu, une requête forgée peut injecter des commandes dans le lancement du serveur. Elles s'exécutent avec les droits du compte du serveur web. Les autres configurations de Collabora ne sont pas touchées, de même que l'application richdocuments utilisée seule avec un serveur Collabora séparé.

Produits et versions.

• Collabora Online – Built-in CODE Server (richdocumentscode) : versions affectées antérieures à 26.4.303 ; version corrigée : 26.4.303 ou ultérieure, publiée le 11 septembre 2026, qui nécessite Nextcloud 30 ou plus récent.

Correctif. Mettre à jour l'application depuis le magasin d'applications Nextcloud. Collabora précise que désactiver l'application ne supprime pas le risque : il faut la mettre à jour ou la retirer. Pour les Nextcloud en fin de vie (29 et antérieurs), la seule voie est de mettre à jour Nextcloud ou de supprimer l'application. Collabora rappelle que cette application vise surtout les particuliers et ne constitue pas sa méthode d'installation recommandée ; un serveur Collabora Online installé séparément est préférable en entreprise.

Exploitation et KEV. Ajoutée au catalogue KEV de la CISA le 23 octobre 2026. Selon le NVD, des exploitations ont eu lieu en septembre et en octobre 2026, les premières remontant au 10 septembre selon BleepingComputer : dépôt d'une porte dérobée sur le serveur, puis recherche de bases de mots de passe, de fichiers de gestionnaires de mots de passe et de portefeuilles de cryptomonnaies. Un usage par des rançongiciels n'est pas établi.

IOC publics. Oui : des indicateurs de compromission ont été publiés par des chercheurs et des administrateurs, et repris par la presse spécialisée. Nous ne les reproduisons pas ici.

Remédiation.

• Inventorier les instances Nextcloud, y compris celles installées sur des NAS ou chez un prestataire, et vérifier la présence de l'application.
• Mettre à jour en 26.4.303 ou ultérieur, ou retirer l'application.
• Si une version vulnérable a été exposée sur Internet après le 10 septembre 2026, rechercher des fichiers ajoutés dans le dossier de l'application et des connexions sortantes inhabituelles en s'appuyant sur les indicateurs publiés. En cas de doute, reconstruire le serveur et renouveler les mots de passe, jetons et clés qu'il contenait.
• Ne pas exposer l'interface d'administration ni le serveur Nextcloud au-delà du nécessaire.