Dans son billet du 15 octobre 2026, Collabora a attribué le retard de l’avis formel sur CVE-2026-110447 aux délais de traitement des CVE par GitHub, qui seraient passés d’environ un jour à plusieurs semaines. La faille touche l’application Nextcloud facultative richdocumentscode : Collabora recommande de la mettre à jour vers la version 26.4.303 ou une version ultérieure, ou de la supprimer. Le billet de Collabora développe aussi la réponse envisagée par l’entreprise.
Ce que Collabora a expliqué sur le délai
Collabora a présenté l’allongement du traitement des CVE par GitHub comme le principal facteur du retard. L’entreprise a également indiqué que son équipe avait traité, corrigé et publié en 2026 un volume de rapports de sécurité qu’elle estimait équivalent à environ dix années de travail. Elle disait avoir engagé une démarche pour devenir une autorité de numérotation CVE (CNA), afin de pouvoir déposer directement des identifiants CVE.
Nextcloud a donné une autre explication à BleepingComputer : l’entreprise voulait laisser aux administrateurs le temps de mettre à jour leur installation et n’avait pas observé d’exploitation généralisée. Les deux explications sont attribuées à leurs auteurs. La couverture de BleepingComputer rapporte aussi des signalements d’attaques par des administrateurs.
De la correction à l’avis de sécurité
BleepingComputer a rapporté un commit de correction le 9 septembre 2026, des attaques signalées par des administrateurs à partir du 10 septembre et la sortie de richdocumentscode 26.4.303 le 11 septembre. Collabora a publié son avis de sécurité le 14 octobre, puis son billet sur le processus de divulgation le 15 octobre. L’avis de Collabora décrit la faille et les mesures correctives.
| Date | Événement |
| 9 septembre 2026 | Commit de correction rapporté par BleepingComputer |
| 10 septembre 2026 | Première date d’attaque signalée par des administrateurs, selon BleepingComputer |
| 11 septembre 2026 | Sortie de richdocumentscode 26.4.303, rapportée par BleepingComputer |
| 14 octobre 2026 | Publication de l’avis de sécurité de Collabora |
| 15 octobre 2026 | Publication du billet de Collabora sur le délai |
L’application et les versions concernées
CVE-2026-110447 est une injection de commandes système sans authentification dans le point d’accès proxy.php de richdocumentscode. Selon l’avis de Collabora, une requête peut lancer une commande avec les privilèges de l’utilisateur du serveur web lorsque le serveur CODE intégré ne fonctionne pas, notamment pendant un redémarrage ou une mise à niveau, ou après un plantage.
Les versions de richdocumentscode antérieures à 26.4.303 sont concernées ; la version 26.4.303 corrige la faille. Désactiver l’application ne suffit pas : Collabora recommande de la mettre à jour ou de la supprimer. Pour Nextcloud 29 ou une version antérieure, l’entreprise conseille de mettre à niveau Nextcloud ou de retirer l’application.
La faille vise l’application CODE intégrée facultative, pas toutes les installations Nextcloud. Collabora indique que les serveurs Collabora Online autonomes ne sont pas concernés ; son billet exclut également les images Docker, les paquets RPM/DEB et les images Nextcloud All-in-One. L’avis précise enfin que CVE-2026-110447 suit une voie différente de CVE-2025-66208 : le correctif de cette dernière ne protège pas contre la faille actuelle.
Les attaques signalées
Selon BleepingComputer, des administrateurs ont rapporté des attaques visant plusieurs points de terminaison, ainsi que l’installation de web shells PHP — de petits scripts qui permettent d’exécuter des commandes sur un serveur. Ces signalements mentionnaient aussi des recherches de données sensibles, notamment des éléments liés aux mots de passe et aux portefeuilles de cryptomonnaies.
NeoTeo avait déjà publié un article sur l’alerte de Collabora concernant l’application CODE de Nextcloud.
