CVE-2026-110447 : Nextcloud Collabora CODE OS injection KEV CISA

Les faits

La CISA (Cybersecurity and Infrastructure Security Agency) américaine a ajouté CVE-2026-110447 à son catalogue KEV (Known Exploited Vulnerabilities) le 23 octobre 2026, avec une date limite de remédiation fixée au 26 octobre 2026 pour les agences fédérales américaines. Cette ajout au KEV confirme l'exploitation active dans la nature de cette vulnérabilité d'injection de commandes OS dans le Collabora Online Built-in CODE Server, une application intégrée de traitement de documents pour la plateforme Nextcloud.

CVE-2026-110447 est une vulnérabilité d'injection de commandes OS (OS Command Injection, CWE-78) dans le script proxy.php du serveur Collabora Online Built-in CODE (richdocumentscode). Le score CVSS v4.0 est de 9.2, classant la faille comme Critique. La faille est déclenchée dans un état spécifique : lorsque le serveur CODE interne n'est pas en cours d'exécution, par exemple immédiatement après un redémarrage ou un crash du service Collabora. Dans cet état transitoire, le script proxy.php, qui gère les requêtes vers le serveur CODE, peut être manipulé pour exécuter des commandes OS arbitraires.

Le vecteur d'attaque est réseau, sans authentification requise et sans interaction utilisateur. Un attaquant distant peut envoyer une requête HTTP spécialement construite vers le endpoint proxy.php de Nextcloud lorsque le service CODE est arrêté, injectant des commandes système qui s'exécutent avec les privilèges du serveur web (généralement www-data ou nginx/apache). Cette condition d'exploitation — le service CODE arrêté — est facilement déclenchée par une attaque préalable de type déni de service sur le processus Collabora, ou naturellement lors des fenêtres de maintenance et de redémarrage.

La faille a été découverte et divulguée de manière responsable. Le correctif a été intégré dans la version 26.4.303 de richdocumentscode, publiée le 11 septembre 2026. Cependant, la fenêtre entre la publication du correctif (septembre) et l'ajout au KEV CISA (octobre) indique que de nombreuses organisations n'ont pas appliqué la mise à jour, permettant une exploitation active. Plusieurs incidents de compromission de serveurs Nextcloud ont été rapportés en septembre et octobre 2026 en lien avec cette vulnérabilité, selon eSecurityPlanet.

Il est important de noter que seule l'application Nextcloud Built-in CODE Server (richdocumentscode) est affectée. Les déploiements Collabora Online en mode standalone (serveur Collabora Online séparé de Nextcloud) ne sont pas concernés par cette CVE spécifique. Cependant, la popularité de l'intégration Nextcloud + CODE Server built-in, qui simplifie le déploiement d'une suite collaborative type Google Workspace, signifie que le nombre de déploiements vulnérables potentiels est très élevé — estimé à plusieurs dizaines de milliers selon Censys.

La vulnérabilité a été référencée dans le portail d'alertes Collabora Online (advisory disponible depuis le 16 octobre 2026, selon Censys). Des analyses techniques détaillées ont été publiées par des chercheurs en sécurité sur des plateformes comme WZ-IT et Penligent.ai, documentant la chaîne d'exploitation et fournissant des indicateurs de compromission. Ces publications, bien que permettant aux défenseurs de détecter les attaques, facilitent également le développement d'exploits par des acteurs malveillants.

L'impact d'une exploitation réussie est sévère : un attaquant obtient l'exécution de commandes OS sur le serveur hébergeant Nextcloud. Cela lui permet de déposer un webshell pour maintenir un accès persistant, exfiltrer tous les fichiers stockés dans Nextcloud (données personnelles, documents d'entreprise confidentiels), pivoter vers d'autres systèmes du réseau interne, ou chiffrer les données dans le cadre d'une attaque ransomware. Nextcloud étant souvent utilisé comme alternative souveraine à Google Drive/OneDrive dans des organisations sensibles (collectivités, hôpitaux, PME), les données hébergées peuvent être particulièrement précieuses.

La CISA a fixé une deadline de remédiation au 26 octobre 2026 pour les agences fédérales américaines soumises à la directive CISA BOD 22-01. Pour les organisations non gouvernementales, la CISA recommande fortement de traiter cette remédiation avec le même niveau d'urgence. Le délai de 3 jours (du 23 au 26 octobre) reflète la sévérité de la menace et la disponibilité d'un correctif depuis plus d'un mois.

Impact et exposition

CVE-2026-110447 affecte tout déploiement Nextcloud qui utilise l'application Built-in CODE Server (richdocumentscode) dans une version antérieure à 26.4.303. La condition d'exploitation — le service CODE temporairement arrêté — se produit naturellement lors des redémarrages de serveur, des mises à jour, ou après un crash du processus Collabora. Les fenêtres d'exposition sont donc régulières et prévisibles par un attaquant ayant cartographié les cibles potentielles.

Les organisations particulièrement exposées incluent les collectivités territoriales, les établissements de santé, les PME et les associations ayant adopté Nextcloud comme solution de souveraineté numérique, souvent avec des ressources IT limitées pour assurer la maintenance et les mises à jour en temps opportun. Les plateformes d'hébergement Nextcloud mutualisées sont également à risque si elles n'ont pas encore mis à jour l'application Built-in CODE Server pour l'ensemble de leurs clients.

Les données stockées dans Nextcloud peuvent inclure des documents stratégiques, des données personnelles soumises au RGPD, des fichiers médicaux ou des communications internes confidentielles. Une compromission via CVE-2026-110447 constitue donc potentiellement une violation de données personnelles au sens du RGPD, imposant une notification à la CNIL dans les 72 heures suivant la découverte de l'incident pour les organisations européennes concernées.

Recommandations immédiates

• Mettre à jour l'application richdocumentscode vers la version 26.4.303 ou supérieure via l'interface d'administration Nextcloud (Applications → Rechercher "Collabora Online - Built-in CODE Server")
• Si la mise à jour ne peut être effectuée immédiatement : désactiver et supprimer l'application richdocumentscode — advisory Collabora Online, octobre 2026
• Vérifier la version installée : depuis l'interface admin Nextcloud ou via sudo -u www-data php /var/www/nextcloud/occ app:list | grep richdocumentscode
• Auditer les logs d'accès Apache/Nginx pour des requêtes suspectes vers /apps/richdocumentscode/proxy.php avec injection de commandes
• Rechercher des webshells dans les répertoires Nextcloud, notamment dans /tmp et les répertoires d'upload
• Si une compromission est suspectée : isoler immédiatement le serveur et notifier votre RSSI ainsi que la CNIL si des données personnelles sont concernées (délai 72h RGPD)