CISA a ajouté CVE-2026-110447 à son catalogue des vulnérabilités exploitées connues (KEV) le 23 octobre 2026, en raison de signes d’exploitation active. La faille touche l’application optionnelle richdocumentscode, le serveur CODE intégré à Nextcloud, dans ses versions antérieures à 26.4.303. La désactiver ne suffit pas : Collabora recommande de la mettre à jour ou de la supprimer.

Le risque concerne le serveur CODE intégré

CVE-2026-110447 est une injection de commandes du système d’exploitation par le fichier proxy.php. Une requête sans authentification peut exploiter ce chemin lorsque le serveur CODE intégré est à l’arrêt, par exemple après un redémarrage, une mise à niveau ou un plantage. Les commandes s’exécutent avec les droits du compte du serveur web.

Le seuil concerne la version de l’application richdocumentscode, pas celle de Nextcloud : les versions antérieures à 26.4.303 sont touchées, et Collabora indique que 26.4.303 corrige la faille. L’avis de Collabora précise aussi que la correction de CVE-2025-66208 ne protège pas contre CVE-2026-110447. Pour le contexte sur la distinction entre ces deux failles, retrouvez notre précédent article sur CVE-2026-110447 et CVE-2025-66208.

Mettre à jour ou retirer l’application

Désactiver richdocumentscode ne supprime pas le fichier vulnérable. Collabora recommande d’installer la version 26.4.303 ou une version ultérieure, ou de retirer l’application. Pour Nextcloud 29 ou une version antérieure, l’application corrigée ne peut pas être installée : Collabora recommande alors de mettre Nextcloud à niveau ou de supprimer richdocumentscode.

Les installations Collabora externes sont hors du périmètre

Cette faille vise le serveur CODE intégré à Nextcloud. Les serveurs Collabora Online autonomes ne sont pas concernés par CVE-2026-110447. CERT Polska exclut également les installations de Nextcloud Office (richdocuments) qui utilisent un serveur Collabora externe. La configuration à examiner est donc celle où Nextcloud héberge l’application intégrée richdocumentscode.

La directive de CISA vise les agences fédérales américaines

CISA a ajouté la vulnérabilité à KEV le 23 octobre 2026 et précise que la directive BOD 26-04 s’applique aux agences du Federal Civilian Executive Branch (FCEB), la branche exécutive civile fédérale des États-Unis. La date limite indiquée pour ces agences est le 26 octobre 2026.

La directive donne la priorité aux vulnérabilités de KEV sur des actifs accessibles depuis Internet qui permettraient une prise de contrôle totale après exploitation. Elle reporte le traitement des vulnérabilités moins risquées et prévoit des vérifications de base pour rechercher une compromission avant l’application d’un correctif. Pour les autres organisations, CISA recommande de prioriser les vulnérabilités inscrites à KEV.

Les indicateurs d’exploitation à examiner

Dans son avis du 20 octobre 2026, CERT Polska signale une exploitation dans des attaques par rançongiciel et des tentatives de prise de contrôle de serveurs. L’organisme recommande d’examiner trois types d’indices :

  • des fichiers shx*.php dans apps/richdocumentscode ;
  • dans les journaux d’accès, des requêtes vers proxy.php?status contenant %2e%2e, $( ou ${IFS} ;
  • des tentatives d’exécuter sudo depuis le compte du serveur web.

Ces éléments sont des pistes d’enquête, pas un diagnostic suffisant à eux seuls. Les recommandations figurent dans l’avis de CERT Polska.