Nextcloud : exploitée depuis le 10 septembre, la faille de Collabora n'a été publiée que le 14 octobre

Le 11 septembre, un administrateur de serveur Nextcloud ouvre un ticket sur le dépôt GitHub de Collabora. Son titre est explicite : « Security issue - Hack ». Dans le dossier d'une application, il a trouvé un petit fichier PHP qui n'aurait pas dû s'y trouver. C'est une porte dérobée, qui exécute toute commande envoyée par une simple adresse web. D'autres administrateurs décrivent rapidement la même chose. Il faudra pourtant attendre le 14 octobre pour qu'un avis de sécurité officiel et un numéro de faille soient publiés.

La faille, référencée CVE-2026-110447, touche l'application Collabora Online - Built-in CODE Server (nom technique richdocumentscode). Elle permet d'éditer des documents bureautiques dans Nextcloud sans installer de serveur séparé. Collabora la juge critique, avec une note de 9,2 sur 10 (barème CVSS 4.0). Les versions antérieures à la 26.4.303 sont vulnérables. Le correctif est disponible depuis le 11 septembre dans le magasin d'applications de Nextcloud.

Une requête suffit, sans mot de passe

D'après l'avis de Collabora, une requête piégée envoyée au fichier proxy.php de l'application peut faire exécuter une commande système avec les droits du serveur web. Aucun compte ni aucune action d'un utilisateur ne sont nécessaires. Il faut une condition : que le serveur bureautique intégré soit à l'arrêt à ce moment-là, ce qui arrive après un redémarrage, une mise à jour ou un plantage.

Selon les témoignages publiés dans le ticket, les attaques ont commencé vers le 10 septembre. Les attaquants y déposaient des fichiers nommés shx*.php, puis cherchaient des bases de mots de passe, des fichiers de gestionnaires de mots de passe et des portefeuilles de cryptomonnaies. Certains utilisateurs ont signalé l'implication d'opérateurs de rançongiciel, ce que BleepingComputer n'a pas pu confirmer. Nextcloud, de son côté, dit ne pas avoir observé d'exploitation à grande échelle.

Point important : seule l'application intégrée est concernée. Toujours selon Collabora, les serveurs Collabora Online autonomes, les installations Docker et par paquets RPM ou DEB, ainsi que Nextcloud All-in-One, ne sont pas touchés.

Pourquoi un mois de silence ?

Le correctif a été écrit le 9 septembre et publié deux jours plus tard. Mais les notes de version ne parlaient pas de sécurité, et des utilisateurs réclamaient encore un numéro de faille fin septembre. Collabora explique ce retard surtout par l'engorgement du traitement des CVE chez GitHub, débordé selon l'éditeur par l'afflux de signalements de failles produits par l'IA. Un phénomène déjà visible dans le cas de curl. Nextcloud estime au contraire que ce délai a laissé aux utilisateurs le temps de mettre à jour.

Le problème dépasse Collabora. D'après la société Second Security, citée par BleepingComputer, le délai médian entre un correctif public et la publication de la CVE atteignait 39 jours en août, contre 5,1 jours en janvier. Les outils de suivi des failles, qui se fondent sur les CVE, restent muets pendant ce temps.

Que faire ?

Si l'application intégrée est installée sur votre Nextcloud, considérez qu'elle a pu être attaquée depuis septembre.

• Mettez à jour richdocumentscode en version 26.4.303 ou ultérieure, ou supprimez l'application si vous ne vous en servez pas. Collabora prévient que la désactiver ne suffit pas.
• Sur les versions de Nextcloud en fin de vie (29 et antérieures), mettez Nextcloud à jour ou retirez l'application.
• Cherchez des fichiers shx*.php dans le dossier de l'application et supprimez-les. Lancez le contrôle d'intégrité de Nextcloud, qui en a repéré chez un administrateur.
• Dans les journaux du serveur web, cherchez des requêtes vers /apps/richdocumentscode/proxy.php qui contiennent des séquences %2e%2e.
• En cas de trace suspecte, considérez comme exposées toutes les données accessibles au compte du serveur web, et changez les secrets qui s'y trouvent.

Reste une question : combien de serveurs ont été touchés entre le 10 septembre et aujourd'hui ? Ni Collabora ni Nextcloud n'ont avancé de chiffre.