La faille Nextcloud Collabora CVE-2026-110447 permet à un attaquant non authentifié d’exécuter des commandes sur votre serveur Nextcloud si l’application « Collabora Online – Built-in CODE Server » y est installée en version 26.4.302 ou antérieure. Elle est exploitée depuis le 10 septembre et la CISA l’a ajoutée le 23 octobre à son catalogue des vulnérabilités activement exploitées : la mise à jour vers 26.4.303 est urgente, et une vérification des traces l’est tout autant.
Ce que permet la faille dans le Built-in CODE Server
Le Built-in CODE Server (application richdocumentscode) est l’option « clé en main » qui permet d’éditer documents, tableurs et présentations directement dans Nextcloud, sans installer de serveur Collabora séparé. C’est précisément ce qui la rend populaire dans les PME qui hébergent leur propre Nextcloud, en interne ou chez un hébergeur.
Selon la fiche CVE-2026-110447, le script proxy.php de cette application insérait des données de la requête dans une commande Bash sans les filtrer. Résultat : une injection de commandes système exécutée avec les droits du serveur web, notée 9,2 sur 10. Le script s’exécute directement via le serveur web, sans charger Nextcloud : l’authentification de Nextcloud ne protège donc rien ici.
Une condition limite l’exploitation : le serveur CODE local doit être arrêté, par exemple pendant un redémarrage, une mise à jour ou après un plantage. En pratique, ces fenêtres arrivent régulièrement sur un serveur de production, et un attaquant qui sonde en continu finit par en trouver une.
Qui est réellement exposé
Vous êtes concerné si trois conditions sont réunies : vous exploitez un serveur Nextcloud, l’application « Collabora Online – Built-in CODE Server » y est activée, et sa version est inférieure à 26.4.303. Les serveurs Collabora Online autonomes, installés à part et reliés à Nextcloud par l’application « Nextcloud Office », ne sont pas touchés, d’après le mainteneur du projet sur le ticket GitHub où l’attaque a été signalée.
Le mainteneur précise aussi que ce mode de déploiement relève de l’édition de développement. Beaucoup de petites structures l’utilisent pourtant en production, parce qu’il s’active en un clic depuis le magasin d’applications Nextcloud. Si votre Nextcloud a été installé par un prestataire, posez-lui la question directement plutôt que de supposer.
Ce que font les attaquants une fois entrés
Les premiers témoignages publiés sur le ticket GitHub décrivent un scénario précis. Des requêtes piégées visant proxy.php ont été observées les 10 et 11 septembre 2026, puis l’attaquant a déposé une webshell PHP nommée sur le modèle shx*.php. Sur au moins un serveur, cette webshell a servi à chercher des magasins d’identifiants et des portefeuilles de cryptomonnaies.
Les journaux examinés ne montraient pas de commande d’exfiltration explicite. Mais un attaquant qui contrôle le compte du serveur web peut lire tout ce que Nextcloud lit : le fichier config.php avec le mot de passe de la base de données, les secrets SMTP ou de stockage objet, et les fichiers des utilisateurs. Un administrateur a même constaté de nouvelles tentatives après sa mise à jour : appliquer le correctif ne suffit pas si une webshell est déjà en place.
L’ajout au catalogue KEV de la CISA confirme que l’exploitation se poursuit en octobre. Le nombre total de serveurs compromis reste inconnu.
Que faire maintenant
- Vérifiez dans Nextcloud (Applications > Applications actives) si « Collabora Online – Built-in CODE Server » est présente, et notez sa version.
- Mettez à jour l’application en 26.4.303 ou supérieure dès aujourd’hui, ou désactivez-la si l’édition en ligne n’est pas indispensable à vos équipes.
- Recherchez les fichiers
shx*.phpdans l’arborescence Nextcloud et les requêtes versrichdocumentscode/proxy.phpdans les journaux du serveur web depuis le 10 septembre, puis lancez le contrôle d’intégrité de Nextcloud. - Changez les secrets lisibles par le serveur web (base de données, SMTP, stockage, comptes d’administration) dès qu’une trace suspecte apparaît, et traitez le serveur comme compromis.
- Planifiez le passage à un serveur Collabora Online autonome si l’édition collaborative est un usage de production chez vous.
Une webshell déposée sur un serveur de fichiers reste souvent invisible pendant des semaines. Pour la repérer avant qu’elle ne serve, une surveillance continue des journaux et des fichiers est le filet qui manque à la plupart des PME : c’est le rôle de notre SOC managé 24/7 pour PME et ETI.
Le scénario rappelle celui des serveurs de messagerie compromis plus tôt cette année : voyez notre article sur la faille Zimbra et la recherche de webshells. Et si des secrets doivent être changés, notre méthode pour révoquer vos secrets en 7 étapes s’applique telle quelle.
Ce qu’il faut retenir
- La faille Nextcloud Collabora CVE-2026-110447 touche le Built-in CODE Server jusqu’à la version 26.4.302.
- Elle est exploitée sans authentification depuis le 10 septembre et figure au catalogue KEV de la CISA.
- Les serveurs Collabora Online autonomes ne sont pas concernés.
- La mise à jour ne retire pas une webshell déjà déposée : cherchez les fichiers
shx*.php. - En cas de trace, changez tous les secrets accessibles au serveur web.