Baies de serveurs dans une salle informatique, illustrant la faille Collabora dans Nextcloud

Faille Collabora CVE-2026-110447 : votre serveur Nextcloud est-il visé?

Beaucoup de PME ont choisi Nextcloud pour garder leurs fichiers chez elles plutôt que dans un nuage américain. Pour éditer les documents Word et Excel directement dans le navigateur, une app optionnelle est souvent ajoutée : Collabora Online – Built-in CODE Server. C’est elle qui est en cause.

La faille Collabora CVE-2026-110447 (gravité 9,2 sur 10) permet à un inconnu, sans mot de passe, de faire exécuter une commande sur le serveur. Des attaquants s’en servent depuis septembre pour y déposer une porte dérobée, et l’agence américaine CISA l’a ajoutée le 23 octobre à son catalogue des vulnérabilités activement exploitées. Voici qui est touché, comment le vérifier en quatre questions et quoi chercher si votre serveur a été exposé.

La faille Collabora en bref : un détail technique, une grosse conséquence

L’app installe une copie de Collabora directement sur le serveur Nextcloud, ce qui évite d’avoir un deuxième serveur. Sa fiche dans la boutique d’apps la présente d’ailleurs comme destinée aux essais et aux petites équipes. Le problème se trouve dans un petit script, proxy.php, qui redémarre le moteur de documents quand il ne tourne pas. Jusqu’à la version 26.4.302, une partie de l’adresse demandée se retrouvait dans une commande système, sans être neutralisée.

Concrètement, l’attaque ne fonctionne que pendant les moments où le moteur de documents est arrêté : un redémarrage, une mise à jour ou un plantage. Ça semble étroit, mais un serveur redémarre plus souvent qu’on pense, et l’attaquant n’a qu’à réessayer.

La fenêtre silencieuse : du correctif discret à l’alerte officielle (dates 2026)

20 août

Changement de code écrit, sans mention de sécurité

31 août

Version 26.4.302 publiée, encore vulnérable

10 sept.

Première attaque connue, la veille du correctif

11 sept.

Version 26.4.303 : le correctif

3 oct.

Alerte d’un membre du forum Nextcloud

14 oct.

Avis officiel et numéro CVE

23 oct.

Ajout au catalogue KEV de la CISA

Pendant plus d’un mois, la mise à jour existait, mais rien n’indiquait qu’elle corrigeait une faille déjà exploitée.

Ce calendrier est la vraie leçon. Le correctif est sorti le 11 septembre avec des notes de version qui ne parlaient pas de sécurité. Une PME qui fait ses mises à jour « quand elle a le temps » n’avait aucune raison d’y voir une urgence avant le 14 octobre.

Êtes-vous concerné?

🧭 Êtes-vous concerné? Quatre questions, dans l’ordre

1. Votre entreprise utilise-t-elle Nextcloud (sur un serveur au bureau, un serveur privé virtuel ou chez un fournisseur)?

OUI ➜ Passez à la question 2.

NON ➜ Cette faille ne vous touche pas. Gardez quand même la question pour vos autres serveurs : qui les tient à jour?

2. L’app « Collabora Online – Built-in CODE Server » (nom technique : richdocumentscode) est-elle installée, même désactivée?

OUI ➜ Passez à la question 3. Désactivée ne veut pas dire protégée.

NON ➜ Pas concerné si vous utilisez seulement Nextcloud Office (richdocuments) avec un serveur Collabora séparé : Docker, paquet Linux ou fournisseur d’hébergement.

3. Sa version est-elle inférieure à 26.4.303?

OUI ➜ Mettez-la à jour ou supprimez-la aujourd’hui. Sur Nextcloud 29 ou plus ancien (fin de vie), la version corrigée ne s’installe pas : mettez Nextcloud à niveau ou retirez l’app.

NON ➜ Passez à la question 4.

4. L’app était-elle en version 26.4.302 ou moins à un moment après le 10 septembre?

OUI ➜ Traitez-le comme un incident possible : cherchez les fichiers suspects et lisez les journaux (voir plus bas) avant de tourner la page.

NON ➜ Bonne nouvelle. Gardez les mises à jour automatiques des apps et le contrôle d’intégrité de Nextcloud actifs.

Pour vérifier la version, ouvrez Nextcloud avec un compte administrateur, allez dans Applications, puis cherchez « Built-in CODE Server ». Si vous ne savez pas qui a installé votre Nextcloud ni qui le met à jour, c’est déjà une réponse : il faut un responsable.

Les signes d’une porte dérobée à chercher

📄

Fichiers PHP inconnus

Dans le dossier apps/richdocumentscode/ : des noms comme shx…php, shrf…php ou Nx_…php, signalés par les administrateurs touchés.

🧾

Contrôle d’intégrité en alerte

Nextcloud signale un EXTRA_FILE dans richdocumentscode : c’est ainsi qu’un administrateur a trouvé sa porte dérobée.

🔎

Requêtes étranges dans les journaux

Des accès à proxy.php?status dont l’adresse contient %2e%2e, $(, ${IFS} ou base64, à vérifier depuis au moins le 10 septembre.

🔐

Tentatives sudo

Des courriels d’échec sudo venant du compte du serveur web : c’est ce qui a alerté un deuxième administrateur.

📡

Appels vers webhook.site

Le serveur qui contacte ce service public : la commande des attaquants y envoyait la description du système.

Ce que l’attaquant cherchait sur un serveur compromis

Gestionnaires de mots de passe

Fichiers KeePass (*.kdbx) et noms comme bitwarden ou 1password.

Portefeuilles de cryptomonnaie

wallet.dat, keystore.json, dossiers .bitcoin, .electrum, .monero, .ethereum.

Ce qui a été vu

Une porte dérobée d’une ligne déposée dans le dossier de l’app, puis des recherches. Aucune commande d’archivage ou d’envoi de fichiers n’apparaît dans les requêtes examinées, et aucun rapport ne montre un accès administrateur (root).

Ce qu’il faut supposer

Tout ce que le compte du serveur web peut lire est potentiellement exposé : mot de passe de la base de données, mots de passe d’application, fichiers des utilisateurs.

Si vous trouvez un de ces signes : supprimez le fichier suspect, mettez l’app à jour ou retirez-la, puis changez les mots de passe que le serveur web peut lire (base de données, mots de passe d’application) et vérifiez qu’aucun autre mécanisme de persistance n’a été ajouté. Conservez une copie des journaux avant de nettoyer : ils servent à savoir ce qui s’est passé.

⚠️ Méfiez-vous des « auto-tests gratuits » partagés dans les forums

Dans le fil d’entraide de Nextcloud sur cette faille, un utilisateur a publié des liens vers des outils de vérification « gratuits » hébergés ailleurs, et un modérateur a rappelé qu’il surveillait les pollueurs. Quand une faille fait parler d’elle, ce genre de lien se multiplie. Fiez-vous à l’avis officiel de Collabora, à la page des apps de votre Nextcloud et à vos propres journaux, pas à un site inconnu à qui vous donneriez l’adresse de votre serveur.

Questions fréquentes

Q1. Nous avons désactivé l’app. Est-ce suffisant?

Non. Collabora l’écrit noir sur blanc : désactiver l’app ne règle pas le problème, il faut la mettre à jour (26.4.303 ou plus) ou la supprimer. Le script fautif est un simple fichier PHP que le serveur web exécute directement, même quand Nextcloud n’utilise plus l’app.

Q2. La version 26.4.402 est sortie. Faut-il la prendre?

Elle réécrit la commande de démarrage, mais des administrateurs rapportent qu’elle ne démarre pas ou n’ouvre pas les documents sur certaines installations, et plusieurs sont revenus à 26.4.303, la version que l’avis officiel nomme comme correctif. Testez avant de l’installer en production.

Q3. Notre Nextcloud est chez un fournisseur. Sommes-nous visés?

Probablement pas si votre fournisseur fait tourner Collabora sur un serveur séparé, ce qui est le cas courant. Posez-lui la question directement : « L’app Built-in CODE Server est-elle installée sur notre instance, et en quelle version? »

Q4. Nous avons fait la mise à jour en septembre. Pourquoi chercher encore?

Parce que la première attaque connue date du 10 septembre, la veille du correctif, et qu’une mise à jour n’efface pas une porte dérobée déjà déposée. Un administrateur a d’ailleurs trouvé un fichier suspect après avoir mis Nextcloud à jour, grâce au contrôle d’intégrité.

Un serveur Nextcloud au bureau, c’est un serveur exposé sur Internet, au même titre qu’un site web. Nous l’avons vu avec la faille PHP critique de cette semaine et avec la faille AhsayCBS sur les serveurs de sauvegarde : les outils qu’on héberge soi-même pour garder le contrôle doivent être suivis de près.

Chez NeoTech, notre service de gestion des serveurs tient vos apps à jour et lit les avis de sécurité à votre place, et notre sauvegarde et reprise après sinistre vous permet de repartir d’une copie propre. Avec notre surveillance cyber, une surveillance automatisée 24/7 avec intervention du technicien de garde repère les fichiers inattendus et les requêtes suspectes sur vos serveurs.

Réservez votre Bilan cyber gratuit

Vous hébergez Nextcloud ou un autre outil vous-même et vous ne savez pas exactement ce qui y est installé? Le Bilan cyber gratuit commence par l’inventaire de vos serveurs exposés et de leurs mises à jour, puis nous vous remettons un plan clair.

👉 Réservez votre Bilan cyber gratuit

Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.

Sources

Photo : Brett Sayles, Pexels (licence Pexels).