Des administrateurs Nextcloud ont signalé des intrusions via l’application Collabora Online - Built-in CODE Server. Publiée le 14 octobre sous CVE-2026-110447, la faille permet une injection de commandes quand le serveur CODE local est arrêté. Collabora avait corrigé le problème dans la version 26.4.303 en septembre.
L’application Nextcloud concernée
La faille touche richdocumentscode, l’application Nextcloud qui embarque le serveur Collabora CODE. Elle ne concerne pas les installations autonomes de Collabora Online. Le scénario dépend de l’état du processus CODE local, par exemple après un redémarrage ou un crash.
Une requête pouvait lancer une commande
Le script proxy.php incorporait une partie de la requête dans une commande shell lorsque le serveur local ne répondait pas. Des administrateurs ont signalé des requêtes non authentifiées suivies du dépôt de web shells PHP. Le nombre de serveurs compromis n’est pas établi publiquement.
Mettre à jour ou supprimer le composant
Vérifiez la version de richdocumentscode et installez la version 26.4.303 ou ultérieure. Si l’application n’est pas utilisée, supprimez-la. La désactivation seule ne suffit pas à éliminer le risque. Une mise à jour n’enlève pas automatiquement un web shell déjà présent.
Rechercher des indices de compromission
Examinez les journaux HTTP et système autour des redémarrages, inspectez le répertoire de l’application à la recherche de fichiers PHP inattendus et vérifiez les tâches planifiées ou nouveaux comptes. Isolez un serveur suspect et suivez votre procédure de réponse avant de le remettre en production.
Le lien avec Soclyde
L’incident concerne un composant serveur collaboratif auto-hébergé; Soclyde ne corrige pas Nextcloud ni Collabora. Il peut aider les équipes à organiser des identifiants et contrôler leur partage. Consultez le guide du partage des mots de passe en équipe.
À retenir
Les responsables Nextcloud doivent distinguer l’application intégrée d’un serveur Collabora autonome, corriger richdocumentscode et vérifier les traces. Désactiver le composant seul n’est pas une mesure suffisante.
