Nextcloud et Collabora intégré : une faille exploitée, comment vérifier et corriger

Cet article s'adresse aux PME et aux associations qui hébergent elles-mêmes leur Nextcloud et qui ouvrent les documents bureautiques directement dans le navigateur grâce à l'app « Collabora Online - Built-in CODE Server ». Une faille de cette app, référencée CVE-2026-110447, est exploitée depuis septembre 2026 : sur certains serveurs, des fichiers malveillants ont été déposés. Vous allez voir comment savoir en quelques minutes si votre Nextcloud est concerné par la faille Collabora intégré, ce qu'il faut corriger, et comment chercher des traces d'une intrusion passée. Le texte suit l'ordre des questions qu'on se pose, de la plus simple à la plus technique.

Ce qui se passe avec la faille Nextcloud et Collabora intégré

Nextcloud propose deux façons d'éditer des documents avec Collabora. La première relie Nextcloud à un serveur Collabora séparé (installé avec Docker, un paquet Linux ou chez un hébergeur). La seconde, pensée pour les petites installations, est une app Nextcloud nommée richdocumentscode qui embarque elle-même le serveur CODE et le démarre depuis PHP. C'est uniquement cette seconde façon qui est touchée.

Selon l'avis de sécurité publié par Collabora le 14 octobre 2026, le fichier proxy.php de cette app peut recevoir une requête qui fait exécuter une commande système sur le serveur, avec les droits de l'utilisateur du serveur web, et sans être connecté. Le score de gravité est de 9,2 sur 10 (CVSS 4.0). La faille a été corrigée dans la version 26.4.303 de l'app ; toutes les versions antérieures sont concernées.

Pourquoi un redémarrage ouvre la porte

L'attaque ne fonctionne que pendant que le serveur CODE intégré ne tourne pas. L'avis de Collabora cite trois moments : le redémarrage d'un conteneur, une mise à jour, ou un plantage. À ce moment-là, proxy.php cherche à relancer le serveur, et c'est ce chemin qui laisse passer la commande. Un message sur le forum Nextcloud précise que l'app démarre Collabora avec une fonction PHP exec.

Concrètement, un serveur qui n'a jamais redémarré depuis longtemps était moins exposé qu'un serveur mis à jour régulièrement, ce qui est un peu contre-intuitif. Mais personne ne peut garantir que le service CODE n'a jamais été arrêté, ne serait-ce que quelques secondes. Il faut donc raisonner comme si la fenêtre avait existé.

Point important, écrit noir sur blanc dans l'avis de Collabora : il ne suffit pas de désactiver l'app pour éviter le problème. Elle doit être mise à jour en 26.4.303 ou plus, ou bien supprimée. Pour les Nextcloud en fin de vie (version 29 ou antérieure), l'avis recommande de mettre à jour Nextcloud ou de retirer l'app.

Comment savoir si votre Nextcloud est concerné

Dans l'interface d'administration, ouvrez la page des applications et cherchez « Collabora Online - Built-in CODE Server ». Trois cas se présentent.

• L'app n'est pas installée et vous utilisez seulement l'app « Nextcloud Office » (richdocuments) reliée à un serveur Collabora séparé : vous n'êtes pas concerné par cette faille. L'avis indique que les serveurs Collabora autonomes ne sont pas touchés.
• L'app est installée en version 26.4.303 ou plus : la faille est corrigée. Il reste à vérifier qu'aucune intrusion n'a eu lieu avant la mise à jour (voir plus bas).
• L'app est installée en version 26.4.302 ou moins, même désactivée : vous êtes concerné. Corrigez maintenant, puis cherchez des traces.

Si vous passez par un hébergeur Nextcloud managé, posez-lui directement la question : vous n'avez pas toujours la main sur les apps installées.

Corriger : mettre à jour l'app ou la retirer

Deux options sont valables. La première est de mettre à jour l'app vers la version 26.4.303 ou plus récente, depuis la page des applications. La seconde, souvent la plus saine pour une petite structure, est de supprimer l'app et de passer à un serveur Collabora séparé, que la faille ne touche pas. Le retrait évite aussi d'avoir un serveur bureautique lancé depuis PHP, ce qui était justement la source du problème.

Si votre Nextcloud est en version 29 ou antérieure, il n'est plus maintenu : la correction de l'app ne suffit pas à le remettre dans un état sûr, et une montée de version de Nextcloud est à prévoir. Faites une sauvegarde complète (fichiers et base de données) avant toute opération.

Vérifier si quelqu'un est déjà entré

La mise à jour bloque les nouvelles attaques, mais elle ne retire pas ce qui a pu être déposé avant. Le message du forum Nextcloud du 3 octobre indique que des administrateurs ont trouvé des « web shells » sur leur serveur, c'est-à-dire de petits fichiers PHP qui permettent ensuite de lancer des commandes à distance. Un administrateur a décrit, le 16 octobre, un fichier inconnu dans le dossier de l'app (apps/richdocumentscode/) contenant une seule ligne qui exécute ce qu'on lui passe dans l'adresse. Il l'a repéré grâce au contrôle d'intégrité de Nextcloud, qui l'a signalé comme fichier en trop (« EXTRA_FILE »).

À partir de là, voici ce que nous conseillons de vérifier. Ce sont des déductions raisonnables à partir des sources, pas une procédure officielle :

• regarder si l'avertissement d'intégrité apparaît dans la page « Vue d'ensemble » de l'administration, et lister tout fichier PHP inattendu dans le dossier de l'app et dans les autres dossiers d'apps ;
• parcourir les journaux d'accès du serveur web à la recherche d'appels à proxy.php venant d'adresses inconnues, depuis septembre ;
• en cas de doute, considérer que tout ce que l'utilisateur du serveur web pouvait lire est exposé : changer le mot de passe de la base de données, les mots de passe d'application et les clés stockées dans la configuration.

Si vous trouvez un fichier suspect, ne vous contentez pas de le supprimer : il peut y avoir d'autres portes ouvertes. Dans ce cas, une restauration depuis une sauvegarde saine, antérieure à septembre, est souvent plus sûre qu'un nettoyage à la main. Nous avions décrit la même démarche pour une porte dérobée déposée via UpdraftPlus sur WordPress.

Ce que disent les autorités

La base américaine NVD décrit la faille comme exploitée « dans la nature » en septembre et octobre 2026. L'agence américaine CISA l'a ajoutée le 23 octobre 2026 à son catalogue des failles activement exploitées (KEV), avec une échéance de correction au 26 octobre pour les administrations fédérales américaines. Ces dates ne s'imposent pas à une PME française, mais elles donnent une idée de l'urgence. C'est le même réflexe que pour la faille GitLab de cette semaine : identifier sa version, corriger, puis vérifier.

Les limites de ce que l'on sait

Les sources ne publient pas de liste officielle de fichiers malveillants ni d'adresses d'attaquants : les noms de fichiers trouvés varient d'un serveur à l'autre. Une absence de trace dans le contrôle d'intégrité est rassurante, mais ne prouve pas à elle seule que rien ne s'est passé, surtout si l'attaquant est allé plus loin que le dossier de l'app. Enfin, cette faille ne concerne pas Collabora installé séparément : si c'est votre cas, inutile de tout changer.

Ce qu'il faut retenir

Si l'app « Collabora Online - Built-in CODE Server » est présente sur votre Nextcloud en version inférieure à 26.4.303, même désactivée, mettez-la à jour ou supprimez-la aujourd'hui. Vérifiez ensuite qu'aucun fichier inconnu n'a été déposé, et changez les mots de passe exposés en cas de doute. Les installations qui utilisent un serveur Collabora séparé ne sont pas concernées.

Sources

• Avis de sécurité Collabora GHSA-g3vx-3m76-fghh (14 octobre 2026)
• NVD, fiche CVE-2026-110447
• Forum Nextcloud, « To Collabora Built-in User: Update ASAP »
• Catalogue KEV de la CISA (ajout du 23 octobre 2026)

Si vous préférez qu'on s'en occupe, la maintenance Scott-E peut prendre en charge ce type de mise à jour et de vérification.