Nextcloud : la faille du serveur Collabora intégré est exploitée, et désactiver l’application ne protège pas

Vous hébergez votre propre Nextcloud et vous éditez vos documents avec Nextcloud Office ? Si vous utilisez pour cela l’application « Collabora Online – Built-in CODE Server », une faille critique permet d’exécuter des commandes sur votre serveur sans mot de passe. Collabora l’a corrigée dans un bulletin du 14 octobre 2026, et des attaquants s’en servent déjà.

Qui est concerné

Pour éviter d’installer un serveur bureautique à part, cette application (nom technique : richdocumentscode) télécharge Collabora Online Development Edition et le fait tourner sur le serveur Nextcloud lui-même. Ce sont ces installations qui sont visées. Les serveurs Collabora Online autonomes ne sont pas touchés.

Comment l’attaque fonctionne

La faille, CVE-2026-110447, est notée 9,2 sur 10. Elle se trouve dans le script proxy.php, qui démarre le serveur bureautique quand une requête arrive et qu’il ne tourne pas. Jusqu’à la version 26.4.302, il glissait une partie de la requête dans une commande système : un texte de la forme $(...) était exécuté avec les droits du serveur web.

La fenêtre est étroite mais réelle : redémarrage d’un conteneur, mise à jour ou plantage du serveur bureautique. Surtout, proxy.php est appelé directement par le serveur web : désactiver l’application ne bloque pas la faille, précise Collabora.

Déjà exploitée

Un signalement publié sur GitHub décrit le même schéma sur plusieurs installations indépendantes : des webshells, de petits fichiers PHP qui exécutent les commandes reçues, déposés dans le dossier de l’application. Sur un serveur, l’attaquant s’en est servi pour chercher des coffres de mots de passe et des portefeuilles de cryptomonnaies. IT-Connect fait remonter les premières attaques au 10 septembre 2026, un mois avant le bulletin.

Ce qu’il faut faire

• Vérifier la version installée, depuis le dossier de Nextcloud : sudo -u www-data php occ app:list | grep richdocumentscode
• Mettre à jour : sudo -u www-data php occ app:update richdocumentscode, ou supprimer l’application si vous ne l’utilisez pas.
• Chercher des fichiers suspects : ls apps/richdocumentscode/shx*.php

Si un tel fichier existe, la mise à jour ne suffit plus : le serveur a pu exécuter n’importe quelle commande, il faut le traiter comme compromis et changer les secrets qu’il contient. Le nom du compte du serveur web (ici www-data) varie selon les systèmes. Ces commandes suivent les documents cités ; elles n’ont pas été testées par le journal.

Nextcloud reste un bon choix pour garder ses fichiers chez soi (on en a parlé ICI). Encore faut-il surveiller les applications qu’on lui greffe.

Le Bien Heureux · Rédaction Capibara · Vendredi 16 octobre 2026