TechAtelier

CYBERSÉCURITÉ · 25 OCTOBRE 2026

Nextcloud et Collabora : faille critique CVE-2026-110447 exploitée

Une injection de commandes dans le serveur Collabora CODE intégré à Nextcloud est exploitée activement. Seule une configuration précise est concernée, mais la mise à jour est urgente.

Ce que l’on sait

La vulnérabilité CVE-2026-110447 touche l’application optionnelle richdocumentscode, appelée Collabora Online Built-in CODE Server, dans Nextcloud. Une injection de commandes dans proxy.php peut conduire à une exécution de code à distance sans authentification. Le score CVSS 4.0 publié est de 9,2/10.

L’exploitation a été signalée en septembre et octobre 2026. La CISA a inscrit cette CVE dans son catalogue des vulnérabilités activement exploitées le 23 octobre 2026.

Quelles installations sont concernées ?

Le risque concerne l’application Nextcloud Built-in CODE Server avant la version 26.4.303, pas toutes les installations Nextcloud et pas les serveurs Collabora Online autonomes. L’attaque nécessite notamment que le serveur CODE intégré ne soit pas déjà en fonctionnement, par exemple au redémarrage ou après une interruption.

Cette condition particulière réduit la fenêtre d’exploitation mais ne rend pas le risque négligeable. Il faut contrôler les applications installées, y compris celles temporairement désactivées.

Que faire immédiatement ?

  1. Inventorier les instances Nextcloud et vérifier la présence de l’application richdocumentscode, distincte de richdocuments.
  2. Mettre à jour Built-in CODE Server vers la version 26.4.303 ou ultérieure selon les instructions de Nextcloud et Collabora.
  3. Si l’application n’est pas nécessaire, la supprimer proprement plutôt que compter uniquement sur sa désactivation.
  4. En cas d’exposition antérieure, examiner les journaux HTTP, les fichiers apparus dans le répertoire de l’application et les autres indices de compromission, sans conclure à une intrusion à partir de la seule version.
  5. Tester l’édition collaborative et les accès aux documents après l’intervention.

Pourquoi simplement désactiver l’application ne suffit-il pas toujours ?

Le code vulnérable peut rester présent sur le serveur même lorsque l’application n’est pas activée dans l’interface. Le traitement exact des accès dépend de la configuration de l’instance : pour supprimer durablement la surface d’attaque, suivez les recommandations du fournisseur, mettez à jour ou désinstallez le composant.

Le conseil TechAtelier

Ne vous limitez pas au numéro de version de Nextcloud : inventoriez aussi les applications additionnelles, leurs versions et leur exposition. Les modules facultatifs peuvent hériter de droits importants sur le serveur.

Pour organiser vos vérifications régulières, découvrez la Veille logiciels TechAtelier.

Sources

Collabora — avis et version corrigée (15 octobre 2026) · NVD — CVE-2026-110447 et CISA KEV · Nextcloud — recommandation éditeur.