Le 14 octobre 2026, Collabora publie un avis sur une faille critique de l’application Nextcloud facultative richdocumentscode — affichée sous le nom Collabora Online - Built-in CODE Server. Les versions antérieures à 26.4.303 sont concernées. La désactiver ne suffit pas : Collabora demande de la mettre à jour ou de la supprimer, comme l’indique son avis de sécurité.
Quelle installation Nextcloud est concernée ?
La faille CVE-2026-110447 touche l’application facultative Built-in CODE, et non Nextcloud Office seul. Collabora indique que les serveurs Collabora Online autonomes ne sont pas concernés par cette faille.
Quand la faille peut-elle exécuter des commandes ?
Une requête sans authentification adressée à proxy.php peut déclencher l’exécution d’une commande système sous l’identité de l’utilisateur du serveur web, mais seulement lorsque le serveur CODE intégré ne fonctionne pas. Cela peut notamment se produire pendant un redémarrage ou une mise à niveau, ou après un plantage.
Quelle correction appliquer ?
Mettez richdocumentscode à jour vers la version 26.4.303 ou une version ultérieure, ou supprimez l’application. Pour les installations sous Nextcloud 29 ou une version antérieure, Collabora recommande de mettre à niveau Nextcloud ou de retirer l’application. La version corrigée de l’application nécessite Nextcloud 30 ou une version ultérieure, selon la page des versions de l’application.
Des attaques ont été signalées avant la publication de l’avis
The Hacker News rapporte que des journaux d’administrateurs font état d’activité malveillante dès le 10 septembre 2026. Collabora publie la version corrigée 26.4.303 le 11 septembre à 13 h 43 GMT, d’après la notice de publication. Son avis public paraît le 14 octobre.
The Hacker News fait aussi état de trois administrateurs ayant signalé une compromission. Ce nombre de témoignages ne constitue pas un décompte des serveurs touchés ; la publication indique que le total est inconnu.
