Nextcloud : le serveur Collabora intégré (CODE) exploité, CVE-2026-110447 au CISA KEV

CVE-2026-110447 touche le serveur Collabora intégré de Nextcloud, l'app Collabora Online – Built-in CODE Server (richdocumentscode). C'est l'option « tout-en-un » qui permet d'éditer des documents bureautiques dans Nextcloud sans installer de serveur Collabora séparé, très utilisée sur les petites instances et les auto-hébergements.

Publiée par NVD le 14 octobre 2026, elle est entrée au catalogue CISA KEV le 23 octobre, avec une échéance au 26 octobre. La description NVD précise qu'elle a été exploitée dans la nature en septembre et en octobre 2026 : l'exploitation a donc commencé avant la publication de la CVE.

La vulnérabilité

Le seul score publié est un CVSS 4.0 attribué par MITRE (CNA) ; il n'y a pas de score CVSS 3.1. NVD a classé l'entrée en Deferred : elle ne sera pas analysée en priorité et n'a pas de configuration CPE.

Description NVD (extrait) :

This is an OS command injection in proxy.php when the CODE server isn't running (e.g., the product was recently restarted). The vulnerability is not present in standalone Collabora Online servers; only this deployment with CODE Server is affected.

Le mécanisme : une fenêtre au démarrage

Avec l'app richdocumentscode, le serveur Collabora (CODE) tourne dans l'instance Nextcloud elle-même, lancé et relayé par un script proxy.php. La faille se trouve dans ce script, et seulement quand le serveur CODE ne tourne pas — par exemple juste après un redémarrage.

C'est ce que traduit AT:P dans le vecteur (« attack requirements present ») : l'attaque dépend d'une condition qui ne dépend pas de l'attaquant. La description ne dit pas si un attaquant peut provoquer lui-même cet état. Mais l'exemple qu'elle donne, un redémarrage récent, n'a rien de rare : redémarrage du serveur, du conteneur ou du service web, mise à jour de Nextcloud.

Une fois la condition réunie, aucune authentification n'est requise, et le résultat est une exécution de commandes sur le serveur avec les droits du processus web. Sur une instance Nextcloud, ces droits donnent accès aux fichiers de tous les utilisateurs et au fichier de configuration, qui contient les identifiants de la base de données.

Qui est concerné, qui ne l'est pas

• Concerné : toute instance Nextcloud où l'app Built-in CODE Server (richdocumentscode) est installée, dans une version antérieure à 26.4.303.
• Non concerné, selon NVD : les serveurs Collabora Online autonomes (déploiement séparé, Docker ou paquet), reliés à Nextcloud par l'app « Nextcloud Office » (richdocuments).

La description précise aussi qu'il s'agit d'une vulnérabilité différente de CVE-2025-66208 : si tu avais traité cette dernière, le travail est à refaire.

Versions

NVD indique avant 26.4.303 : la 26.4.303 est la première version de l'app richdocumentscode hors de la plage vulnérable. NVD n'a pas de configuration CPE pour cette entrée ; les références à suivre sont le fil d'annonce sur le forum Nextcloud (« To Collabora built-in user: update ASAP »), l'issue GitHub richdocumentscode #354 et l'advisory GitHub de Collabora cité par la CISA.

Vérifier la version installée, depuis le répertoire de Nextcloud :

sudo -u www-data php occ app:list | grep -A1 richdocumentscode

(Adapte l'utilisateur à celui qui exécute ton serveur web.)

Détection

L'exploitation ayant commencé en septembre, une mise à jour faite aujourd'hui ne dit rien de ce qui s'est passé avant. L'entrée KEV renvoie aux exigences de triage forensique de la directive BOD 26-04.

• Journaux d'accès : requêtes vers proxy.php de l'app richdocumentscode avec des paramètres inhabituels, en particulier dans les minutes qui suivent un redémarrage
• Processus lancés par l'utilisateur du serveur web (www-data, apache, nginx…) : shells, curl, wget, mineurs de cryptomonnaie
• Fichiers PHP récents ou modifiés dans le répertoire de Nextcloud, hors mise à jour ; l'intégrité peut se contrôler avec occ integrity:check-core
• Tâches planifiées (crontab de l'utilisateur web) ajoutées sans raison
• Connexions sortantes depuis le serveur Nextcloud vers des destinations inconnues

Mitigation

1. Mettre à jour l'app richdocumentscode en 26.4.303 ou au-delà (occ app:update richdocumentscode). L'échéance CISA tombe le 26 octobre.
2. Si la mise à jour est impossible tout de suite : désactiver l'app (occ app:disable richdocumentscode). L'édition en ligne des documents s'arrête, mais le point d'entrée disparaît.
3. À moyen terme, pour une instance exposée sur Internet ou avec de nombreux utilisateurs : envisager un serveur Collabora Online autonome, que NVD indique non affecté par cette faille.
4. En cas de doute sur une compromission : considérer que les fichiers des utilisateurs ont pu être lus, faire tourner le mot de passe de la base de données et les secrets du config.php, vérifier les comptes administrateurs Nextcloud et les apps installées récemment.

Pourquoi surveiller en continu vos applications auto-hébergées

Une app installée en un clic pour « avoir l'édition en ligne », qui se met à jour indépendamment de Nextcloud, et que personne ne regarde : c'est exactement le composant qui échappe à l'inventaire. Ici, il a été exploité plusieurs semaines avant qu'une CVE ne soit publiée.

Avec cveo.tech, inventorie tes applications auto-hébergées et leurs modules avec leur version, et reçois une alerte dès qu'une CVE au CISA KEV les concerne.