Nextcloud : une faille dans Collabora Online sert à poser des portes dérobées

Des pirates exploitent depuis environ le 10 septembre 2026 la faille CVE-2026-110447, une injection de commandes dans l'application Collabora Online intégrée à Nextcloud (le paquet « richdocumentscode »), pour installer des webshells PHP sur des serveurs, selon BleepingComputer. La CVE n'a été publiée que le 14 octobre 2026, plus d'un mois après le correctif.

Quelles versions de Nextcloud sont concernées ?

Seule l'application optionnelle du serveur CODE (Collabora Online Development Edition) intégré à Nextcloud est vulnérable, dans les versions antérieures à 26.4.303. Selon Collabora, les serveurs Collabora Online autonomes, les installations Docker, RPM ou DEB, ainsi que Nextcloud All-in-One ne sont pas touchés.

La faille se situe dans le mécanisme qui démarre le serveur Collabora embarqué. Une requête malveillante envoyée au point d'accès proxy.php déclenche l'exécution de commandes système, sans authentification ni action de l'utilisateur. L'exploitation suppose que le serveur CODE intégré soit arrêté, ce qui arrive après un redémarrage, une mise à jour ou un plantage.

Que font les attaquants une fois dans le serveur ?

Des administrateurs ont rapporté que l'intrus dépose des webshells PHP, des portes dérobées accessibles par le web, puis fouille le serveur à la recherche de bases de mots de passe, d'éléments de gestionnaires de mots de passe et de portefeuilles de cryptomonnaies. Des utilisateurs affirment aussi que des opérateurs de rançongiciels profitent de la faille ; BleepingComputer n'a pas pu le confirmer. Le nombre de serveurs touchés n'est pas connu : Nextcloud n'a pas répondu sur ce point et affirme ne pas avoir constaté d'exploitation massive.

Pourquoi la CVE est-elle arrivée si tard ?

• 9 septembre 2026 : correctif validé ; 11 septembre : version 26.4.303 publiée.

• Environ 10 septembre : premiers signalements d'attaques par des administrateurs.

• 3 octobre : avertissement sur le forum de la communauté Nextcloud.

• 14 octobre : avis de sécurité, avis GitHub et CVE publiés.

Collabora attribue le retard surtout à l'engorgement des files de traitement des CVE sur GitHub, saturées selon l'éditeur par la hausse des rapports de sécurité produits par l'IA. Une étude de Second Security citée par BleepingComputer chiffre l'écart médian entre un correctif public et la publication de la CVE à 5,1 jours en janvier, contre 39 jours en août, alors que du code d'exploitation public apparaît parfois en quelques heures. Ce délai est un angle mort : un administrateur qui ne surveille que les CVE n'a rien vu passer pendant plus d'un mois.

Que faire sur une instance Nextcloud ?

• Mettre à jour richdocumentscode vers 26.4.303 ou plus récent.

• Si l'application n'est pas utilisée, la supprimer : selon les consignes de l'éditeur, la simple désactivation ne suffit pas.

• Chercher des fichiers PHP inattendus et des requêtes vers proxy.php dans les journaux depuis le 10 septembre, et changer les secrets stockés sur un serveur suspect.

Les correctifs publiés sans CVE ne sont pas un cas isolé cet automne : nous avons évoqué l'exploitation de failles du noyau Linux avec accès root.

Source

BleepingComputer, « Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers », 15 octobre 2026