Alerte cyber pour PME suisses : Nextcloud – l’app Collabora est activement exploitée
Une vulnérabilité critique de l’app optionnelle « Collabora Online – Built-in CODE Server » pour Nextcloud est activement exploitée. Sans devoir s’authentifier, un attaquant peut exécuter des commandes avec les droits de l’utilisateur du serveur web, mais uniquement lorsque le serveur CODE intégré ne fonctionne pas, par exemple lors d’un redémarrage, d’une mise à niveau ou après un plantage. Si votre entreprise exploite Nextcloud elle-même ou par l’intermédiaire d’un prestataire informatique, demandez-lui de contrôler dès maintenant la version de l’app et de rechercher d’éventuelles traces d’attaque.
Que s’est-il passé ?
Collabora a publié son avis de sécurité concernant CVE-2026-110447 le 14 octobre 2026. Des attaques visant des installations Nextcloud accessibles depuis Internet avaient déjà été observées dès le 10 septembre 2026, avec l’installation de web shells PHP puis l’exécution de commandes sur les serveurs touchés.
La vulnérabilité obtient un score CVSS v4.0 de 9.2. Une exploitation réussie lance des commandes avec les droits de l’utilisateur du serveur web et peut donc compromettre les données et secrets auxquels ce service a accès.
Mon entreprise pourrait-elle être concernée ?
Sont concernées les installations Nextcloud utilisant l’app optionnelle « Collabora Online – Built-in CODE Server » (paquet richdocumentscode) dans une version antérieure à 26.4.303. L’exploitation n’est possible que lorsque le serveur CODE intégré ne fonctionne pas, par exemple lors d’un redémarrage, d’une mise à niveau ou après un plantage.
Selon l’éditeur, les serveurs Collabora Online autonomes ne sont pas concernés. Si votre entreprise utilise un service Nextcloud hébergé, demandez au fournisseur de confirmer si cette app Built-in CODE précise a été utilisée.
Que faut-il faire maintenant ?
Demandez aujourd’hui à votre prestataire informatique de déterminer si votre environnement Nextcloud utilise l’app richdocumentscode. Si c’est le cas, il faut la mettre à jour vers la version 26.4.303 ou ultérieure ; il est préférable d’installer la version prise en charge la plus récente.
La simple désactivation de l’app ne suffit pas. Pour Nextcloud 29 ou une version antérieure, l’éditeur demande de mettre Nextcloud à niveau ou de supprimer l’app. Si l’installation était accessible depuis Internet à partir du 10 septembre 2026, une recherche de compromission est également nécessaire.
Quel est le degré d’urgence ?
Très urgent pour les installations concernées : l’exploitation est confirmée, aucune connexion n’est requise et la faille permet d’exécuter des commandes sur le serveur. Les entreprises qui n’utilisent pas l’app concernée n’ont aucune mesure à prendre ; la priorité consiste à vérifier rapidement le déploiement exact.
Informations pour votre prestataire informatique
CVE-2026-110447 ; CVSS v4.0 : 9.2 (Critical).
Versions concernées : richdocumentscode < 26.4.303. Correctif disponible à partir de 26.4.303.
Condition : le serveur Built-in CODE ne fonctionne pas, par exemple lors d’un redémarrage, d’une mise à niveau ou après un plantage.
Vecteur : /apps/richdocumentscode/proxy.php?status ; aucune authentification ni action de l’utilisateur n’est requise.
Indicateurs observés : fichiers PHP de type shx*.php, adresse IP source 139.28.18.122, webhook.site et SHA-256 4b9fbd0663fbfd6028fc216ed18e0d6ef3ae498a7fdc97083e4b0ce3cec40562.
Collabora Online autonome n’est pas concerné. Désactiver l’app ne suffit pas ; il faut la mettre à jour ou la supprimer.
