ekera Faille Nextcloud Collabora CVE-2026-110447 : exploitée depuis septembre, et désactiver l’application ne suffit pas
La faille Nextcloud Collabora CVE-2026-110447 permet à un attaquant sans compte d’exécuter des commandes sur un serveur Nextcloud qui utilise le serveur de documents Collabora intégré. Exploitée depuis septembre, elle a été ajoutée le 23 octobre 2026 au catalogue des vulnérabilités exploitées de la CISA. Pour une ETI, la question est : où tourne Nextcloud chez elle et chez ses prestataires, avec quelles applications, et qui le met à jour ?
Que s’est-il passé ?
Le 14 octobre 2026, Collabora a publié un avis sur une injection de commandes, sans authentification, dans l’application « Collabora Online – Built-in CODE Server » (richdocumentscode) de Nextcloud ; toutes les versions antérieures à 26.4.303 sont touchées. Le même jour, le CERT Santé, service d’alerte du secteur de la santé, signalait la faille comme activement exploitée.
Des administrateurs ont trouvé des portes dérobées (web shells) sur leurs serveurs. Selon The Hacker News, la première attaque relevée date du 10 septembre, et les intrus ont cherché des fichiers de gestionnaires de mots de passe et des portefeuilles de cryptomonnaie. Des utilisateurs affirment que des groupes de rançongiciel s’en servent ; BleepingComputer n’a pas pu le confirmer. Le 23 octobre, la CISA a inscrit la faille à son catalogue KEV et demandé aux agences fédérales américaines de corriger avant le 26 octobre.
Quels serveurs la faille Nextcloud Collabora touche-t-elle ?
Seuls les serveurs Nextcloud où l’application Built-in CODE Server est installée, en version antérieure à 26.4.303, sont touchés, qu’elle soit active ou non.
Selon l’avis de Collabora, un serveur Collabora Online installé à part n’est pas concerné. Une installation qui utilise seulement l’application Nextcloud Office, reliée à un serveur Collabora en conteneur, en paquet Linux ou chez un hébergeur, ne l’est pas non plus, selon l’avertissement communautaire repris par The Hacker News. Nextcloud 29 et les versions antérieures, qui ne sont plus maintenues, ne peuvent pas recevoir la version corrigée : Collabora demande de mettre Nextcloud à niveau ou de retirer l’application.
La note de gravité diffère selon le barème : 9,2 sur 10 au score CVSS 4.0 retenu par Collabora, 9,8 au score CVSS 3.1 indiqué par le CERT Santé.
Pourquoi désactiver l’application ne suffit-il pas ?
Parce que le code vulnérable reste sur le serveur tant que l’application n’est ni retirée ni mise à jour. Collabora l’écrit dans son avis : « It is not sufficient to disable the app to avoid the problem » (désactiver l’application ne suffit pas, dans notre traduction).
C’est un piège d’inventaire : une application essayée un jour puis désactivée disparaît de l’usage, mais pas du serveur. Et la faille ne s’ouvre que lorsque le serveur de documents intégré est arrêté, par exemple après un redémarrage, une mise à jour ou une panne : un serveur peut sembler sain pendant des semaines.
Pourquoi l’alerte est-elle arrivée un mois après le correctif ?
Parce que la version corrigée est sortie le 11 septembre, alors que l’avis et la référence CVE n’ont été publiés que le 14 octobre ; entre les deux, des serveurs étaient déjà attaqués.
Selon BleepingComputer, Collabora attribue ce retard surtout à l’engorgement du traitement des CVE chez GitHub, qu’il relie à l’afflux de signalements produits avec l’IA ; Nextcloud dit n’avoir pas observé d’exploitation à grande échelle et estime que le délai a laissé aux utilisateurs le temps de mettre à jour. Le cas n’est pas isolé : une étude de Second Security, citée par BleepingComputer, mesure que le délai médian entre un correctif public et la publication de sa CVE est passé de 5,1 jours en janvier à 39 jours en août. Attendre l’alerte pour corriger, c’est souvent corriger après les attaquants.
Que trouve un attaquant sur un serveur Nextcloud ?
Les documents partagés de l’entreprise, et souvent des secrets qui ouvrent d’autres systèmes.
Les commandes s’exécutent avec les droits du compte du serveur web, celui qui lit les fichiers. Selon un rapport d’incident italien cité par NeoTeo, l’attaquant a installé trois web shells sur un serveur et volé un fichier de configuration contenant des identifiants et des secrets d’application. Un Nextcloud monté par une équipe projet, une filiale ou un prestataire, hors du regard de la DSI, est le plus exposé : personne ne suit ses mises à jour.
Que doit vérifier une ETI dès maintenant ?
- Recenser toutes les instances Nextcloud : celle de la DSI, mais aussi celles des filiales, des sites, des équipes projet et des prestataires ou hébergeurs qui en exploitent une pour vous.
- Chercher sur chacune l’application Built-in CODE Server (richdocumentscode), y compris désactivée.
- La mettre à jour en 26.4.303 ou plus, ou la retirer si elle ne sert pas ; une simple désactivation ne protège pas.
- Mettre à niveau Nextcloud 29 ou antérieur, qui ne peut pas recevoir la version corrigée, ou retirer l’application.
- Chercher des fichiers PHP inconnus : chez un administrateur, c’est le contrôle d’intégrité de Nextcloud qui a révélé la porte dérobée.
- Traiter comme compromis un serveur exposé resté sans correctif : renouveler les mots de passe et secrets de sa configuration, vérifier ses accès vers les autres systèmes, et demander aux prestataires une confirmation écrite de leurs versions.
Quelle réponse propose Ekera ?
Devant une telle alerte, il faut savoir vite où tourne Nextcloud, avec quelles applications, qui l’exploite et quelles activités en dépendent. Ekera construit une cartographie du système d’information à partir de vos documents et de vos exports (inventaires, contrats, annuaire, achats), sans accès direct à votre SI, chaque élément relié à sa source. Un serveur vu dans l’inventaire ou un hébergeur payé dans les achats, mais absent de la carte, est signalé comme oubli probable.
La surveillance continue relie les failles publiées aux composants et aux processus touchés, puis présente des propositions que vos équipes décident. Vous pouvez aussi demander à la carte, en français, ce qu’arrêterait la coupure du partage de documents : la réponse cite ses sources, et chaque chiffre vient du moteur de calcul, jamais du modèle. L’exemple chiffré des Ateliers Morvan (exemple fictif) montre cette carte.
Questions fréquentes
Mon Nextcloud est-il touché par la faille CVE-2026-110447 ?
Seulement si l’application Built-in CODE Server (richdocumentscode) y est installée en version antérieure à 26.4.303, même désactivée. Les serveurs touchés.
Désactiver l’application suffit-il ?
Non : selon Collabora, il faut la mettre à jour en 26.4.303 ou plus, ou la retirer. Pourquoi la désactivation ne protège pas.
Un serveur Collabora Online installé à part est-il concerné ?
Non, selon l’avis de Collabora : seule l’application intégrée à Nextcloud est touchée. Qui doit agir.
Sources
- Collabora, avis GHSA-g3vx-3m76-fghh, « Unauthenticated OS command injection in the richdocumentscode proxy », 14 octobre 2026
- CISA, « CISA Adds One Known Exploited Vulnerability to Catalog », 23 octobre 2026
- CERT Santé (Agence du numérique en santé), « Collabora - CVE-2026-110447 », 14 octobre 2026
- BleepingComputer, « Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers », 15 octobre 2026
- The Hacker News, « Hackers Backdoor Nextcloud Servers Through Critical Flaw in Collabora’s Built-in CODE App », 14 octobre 2026
- The Hacker News, « CISA Flags Two Actively Exploited Critical Flaws in Collabora Online and Arista VeloCloud », 24 octobre 2026
- NeoTeo, « Nextcloud Collabora Flaw Added to CISA’s KEV Catalog », 25 octobre 2026
Article préparé avec l’agent de veille d’Ekera à partir des sources citées, relu et validé par l’équipe avant publication. Ekera cartographie le système d’information (SI) des ETI, chiffre ce qu’une attaque arrêterait et prépare les preuves NIS2. Découvrir Ekera.