Alerte cyber pour PME suisses : ONLYOFFICE Docs – une faille serveur activement exploitée permet l’exécution de code
La CISA confirme l’exploitation active d’une faille critique dans d’anciennes installations d’ONLYOFFICE Document Server. Les versions antérieures à 5.6.3 sont concernées lorsque JWT est utilisé. Si votre entreprise exploite ONLYOFFICE Docs elle-même ou par l’intermédiaire d’un prestataire informatique, demandez aujourd’hui un contrôle de la version installée.
Que s’est-il passé ?
La CISA a ajouté CVE-2021-3199 à son catalogue des vulnérabilités exploitées le 8 octobre 2026. Cette inscription confirme que la faille est utilisée dans des attaques réelles.
La vulnérabilité se trouve dans la fonction de téléversement d’ONLYOFFICE Document Server. Lorsqu’un jeton JWT est utilisé, une requête d’image manipulée peut permettre à un attaquant distant non authentifié de parcourir des chemins de fichiers et d’exécuter du code sur le serveur.
Mon entreprise pourrait-elle être concernée ?
La faille concerne ONLYOFFICE Document Server, également appelé ONLYOFFICE Docs, dans les versions antérieures à 5.6.3. Elle est pertinente pour les installations auto-hébergées et pour les serveurs gérés par un prestataire dans le cadre d’une plateforme documentaire ou collaborative.
Si votre entreprise n’utilise pas ONLYOFFICE Docs, ou si son Document Server exécute la version 5.6.3 ou une version ultérieure, cette vulnérabilité précise ne s’applique pas selon les informations officielles.
Que faut-il faire maintenant ?
Demandez aujourd’hui à votre prestataire informatique d’identifier toute installation d’ONLYOFFICE Document Server, puis de vérifier sa version, la configuration JWT et son exposition à Internet.
Les systèmes concernés doivent être mis à niveau vers une version actuellement prise en charge ; la version 5.6.3 est la première à contenir le correctif.
Si un serveur vulnérable était accessible depuis Internet, demandez également un contrôle des journaux et de l’état du système afin de rechercher des signes de compromission.
Quel est le degré d’urgence ?
Élevée pour les serveurs concernés et accessibles. L’exploitation active est confirmée et une attaque sans authentification peut aboutir à l’exécution de code ; le contrôle ne devrait donc pas attendre la prochaine fenêtre de maintenance ordinaire.
Informations pour votre prestataire informatique
CVE : CVE-2021-3199 ; CVSS 3.1 : 9.8.
Produit : ONLYOFFICE Document Server / ONLYOFFICE Docs avant la version 5.6.3.
Condition : JWT est utilisé ; attaque au moyen d’une requête d’image spécialement conçue dans la fonction /upload.
Impact : contournement des restrictions de sécurité et exécution de code à distance.
État : exploitation active confirmée ; ajout au catalogue KEV de la CISA le 8 octobre 2026.
Mesure : mettre à niveau vers une version actuellement prise en charge, au minimum 5.6.3, et vérifier les anciens systèmes exposés pour détecter une éventuelle compromission.
