Nextcloud : la faille du CODE intégré exploitée

Une faille critique touchant Nextcloud, via l'application Collabora Online - Built-in CODE Server, est activement exploitée. L'agence américaine CISA a ajouté le 23 octobre la vulnérabilité CVE-2026-110447 à son catalogue des failles exploitées (KEV). Les premières attaques remontent à début septembre, et les administrateurs qui utilisent ce module doivent agir sans attendre.

Une injection de commandes sans authentification

L'application concernée, richdocumentscode, est un module optionnel qui fait tourner un serveur Collabora Online (CODE) directement sur l'hôte Nextcloud, pour éditer des documents bureautiques sans installer de serveur séparé. Selon l'avis de sécurité publié par Collabora le 14 octobre sur GitHub (GHSA-g3vx-3m76-fghh), une requête vers le script proxy.php du module permet de faire exécuter une commande système avec les droits de l'utilisateur du serveur web, sans authentification.

L'attaque ne fonctionne que lorsque le serveur CODE intégré n'est pas en cours d'exécution, par exemple après un redémarrage de conteneur, une mise à jour ou un plantage. La faille obtient un score CVSS 4.0 de 9,2, soit un niveau critique. Collabora précise qu'il s'agit d'un chemin d'attaque distinct de la faille CVE-2025-66208, dont le correctif ne protège pas contre celle-ci.

Des web shells depuis septembre

Sur le dépôt GitHub du module, un administrateur a signalé le 11 septembre une intrusion : des requêtes vers proxy.php avaient déposé des web shells PHP aux noms de type shx*.php dans le répertoire de l'application. Les premières traces dans ses journaux datent du 10 septembre. Sur un serveur, l'attaquant a ensuite cherché des fichiers sensibles, comme des bases de gestionnaires de mots de passe ou des portefeuilles de cryptomonnaies. La version 26.4.303, publiée le 11 septembre, corrige le problème.

En Italie, l'agence nationale de cybersécurité ACN a décrit le 16 octobre un serveur compromis : trois web shells installés et un fichier de configuration contenant des identifiants de base de données, d'une boîte mail de service et des secrets applicatifs téléchargé. L'agence n'a pas relevé, à ce stade, d'accès aux documents des utilisateurs ni de mouvement latéral, mais elle décrit une campagne automatisée menée par plusieurs acteurs.

Qui est concerné

Sont vulnérables les instances Nextcloud qui utilisent richdocumentscode dans une version antérieure à 26.4.303, y compris lorsque l'application est désactivée : Collabora souligne que la désactivation ne suffit pas. Les serveurs Collabora Online installés séparément ne sont pas concernés. Les instances en Nextcloud 29 ou antérieur, qui n'est plus maintenu, ne peuvent pas recevoir la version corrigée.

Que faire

Les recommandations de Collabora et de l'ACN convergent :

• mettre à jour richdocumentscode en 26.4.303 ou ultérieure, ou supprimer l'application ;
• sur un Nextcloud 29 ou plus ancien, migrer vers une version maintenue ou retirer le module ;
• vérifier l'intégrité de Nextcloud et rechercher des fichiers PHP inattendus, en commençant par apps/richdocumentscode ;
• examiner les journaux du serveur web à la recherche de requêtes suspectes vers proxy.php ;
• en cas de compromission, isoler la machine, conserver les preuves, puis renouveler identifiants et secrets depuis un poste sain.

Pour un usage en production, un serveur Collabora Online distinct reste la configuration la plus robuste. Cette alerte s'ajoute à une série de logiciels auto-hébergés ciblés ces dernières semaines, comme Zammad ou les serveurs Plex : pour ces services exposés sur Internet, l'application rapide des correctifs reste la première ligne de défense.