CVE-2026-110447 : des attaques exploitent une faille critique dans l'app Collabora de Nextcloud
La faille touche les versions de richdocumentscode antérieures à 26.4.303 ; l'éditeur recommande la mise à jour ou la suppression de l'application.
Des attaquants exploitent la faille CVE-2026-110447, une vulnérabilité critique d'exécution de commandes dans l'application Collabora Online - Built-in CODE Server (richdocumentscode) pour Nextcloud. L'avis de sécurité et le CVE ont été publiés le 14 octobre 2026, selon bleepingcomputer.com. Les administrateurs système sont invités à passer à la version 26.4.303 ou ultérieure, ou à supprimer l'application serveur.
La faille concerne les versions de richdocumentscode antérieures à 26.4.303 et se situe dans le mécanisme de démarrage du serveur Collabora intégré. L'exploitation passe par l'envoi d'une requête malveillante au point de terminaison proxy.php de l'application, qui déclenche une injection de commandes au niveau du système d'exploitation. Elle exige que le serveur CODE intégré soit arrêté, mais ne nécessite ni authentification ni interaction de l'utilisateur.
Le correctif a été validé le 9 septembre et la version 26.4.303 a été publiée le 11 septembre. Nextcloud indique que Collabora a signalé la vulnérabilité à la mi-septembre et qu'une mise à jour a été rendue disponible via la boutique d'applications. Collabora attribue principalement le retard de l'annonce aux files d'attente de traitement des CVE de GitHub.
Un délai de publication des CVE qui s'allonge
Les attaques ont commencé à la mi-septembre, environ un mois avant le bulletin de sécurité formel, l'avis GitHub et la publication du CVE. Le 10 septembre, des administrateurs ont signalé des attaques contre plusieurs points de terminaison, puis un avertissement communautaire a été publié le 3 octobre, appelant à une mise à jour immédiate.
Selon Second Security, l'intervalle médian entre la publication publique des correctifs et celle des CVE atteignait 39 jours en août, contre 5,1 jours en janvier.
En bref
Quelles versions sont concernées par CVE-2026-110447 ?
Les versions de l'application richdocumentscode antérieures à 26.4.303. La version corrigée 26.4.303 a été publiée le 11 septembre 2026.
Que doivent faire les administrateurs ?
Mettre à jour vers la version 26.4.303 ou ultérieure, ou supprimer l'application serveur CODE intégré.
L'exploitation nécessite-t-elle une authentification ?
Non. Elle ne requiert ni authentification ni interaction de l'utilisateur, mais le serveur CODE intégré doit être arrêté.