Une faille critique exploitée depuis septembre 2026

La faille CVE-2026-110447, classée critique avec un score CVSS 4.0 de 9.2 selon OpenCVE, affecte spécifiquement le module Built-in CODE Server (appelé richdocumentscode) intégré à Collabora Online pour Nextcloud. Elle permet une injection de commandes OS via l’endpoint proxy.php lorsque le serveur CODE est arrêté, une situation fréquente après un redémarrage, une mise à jour ou un plantage, comme l’explique BleepingComputer.

Les attaques, documentées dès mi-septembre 2026, précèdent la publication officielle des avis de sécurité par GitHub et Collabora. La vulnérabilité ne concerne que les installations intégrées à Nextcloud : les serveurs Collabora Online autonomes (Docker, RPM/DEB, Nextcloud All-in-One) et les déploiements externes restent non affectés, précise Rapid7.

Désactiver l’application Collabora Online intégré à Nextcloud n’est pas suffisant pour se protéger : les webshells peuvent persister et les attaquants exploitent activement cette faille depuis septembre 2026.

Méthode d’exploitation : webshells et recherche de données sensibles

Les acteurs de menace envoient une requête malveillante à proxy.php, exploitant l’injection de commande pour implanter des webshells PHP (fichiers nommés shx.php), comme le rapportent les administrateurs cités par ThreatWire. Ces webshells servent à explorer les systèmes ciblés, notamment pour localiser des bases de données de mots de passe, des artefacts de gestionnaires de mots de passe (comme KeePass) et des portefeuilles de cryptomonnaies, selon BleepingComputer.

Bien que des rumeurs évoquent une exploitation par des opérateurs de ransomware, aucune confirmation indépendante n’a été établie à ce jour. La vulnérabilité est distincte d’une faille similaire (CVE-2025-66208) et ne figure pas dans la liste CISA KEV, malgré son score critique.

Retard dans la communication et recommandations urgentes

Collabora a attribué le retard dans l’annonce publique de la faille aux retards de traitement des CVE par GitHub, submergé par le volume croissant de rapports assistés par IA, comme l’indique BleepingComputer. Un avertissement communautaire a été publié le 3 octobre 2026, exhortant les administrateurs à mettre à jour immédiatement vers la version 26.4.303 ou plus récente, corrigée le 11 septembre.

Nextcloud a souligné que Collabora avait signalé la vulnérabilité dès mi-septembre et que les utilisateurs disposaient d’un délai pour appliquer la correction via l’app store. Cependant, la société précise n’avoir pas observé d’exploitation massive, bien que des cas isolés aient été rapportés. Collabora insiste : désactiver l’application n’est pas suffisant pour se protéger, et les fichiers PHP suspects doivent être supprimés manuellement.

Ce que cela change ici : risques pour les administrations et entreprises de la sous-région

Les organisations béninoises et d’Afrique de l’Ouest utilisant Nextcloud avec l’application Collabora Online intégrée (notamment pour des environnements collaboratifs ou des documents en ligne) pourraient voir leurs serveurs compromis si elles n’ont pas appliqué la mise à jour 26.4.303. L’exploitation ciblée des webshells expose les données sensibles stockées localement, comme les mots de passe ou les portefeuilles numériques, à des fuites ou à des usages malveillants.

Les administrations publiques, les banques et les entreprises du secteur privé utilisant des solutions de stockage cloud internes basées sur Nextcloud devraient vérifier l’état du serveur CODE intégré et appliquer la correction sans délai, surtout après un redémarrage ou une maintenance. Une surveillance accrue des fichiers PHP suspects (shx.php) dans les répertoires critiques serait également recommandée pour détecter une intrusion.

Les acteurs utilisant des déploiements autonomes de Collabora Online (hors Nextcloud) ou des versions Docker/RPM/DEB ne sont pas concernés par cette faille, mais pourraient être ciblés par d’autres vulnérabilités. Une revue des configurations et des mises à jour régulières des applications reste une pratique essentielle pour limiter les risques.