Le 14 octobre 2026, la GitHub Advisory Database a distingué CVE-2026-110447 de CVE-2025-66208 et fait état d’exploitations en septembre et octobre 2026. La faille concerne l’application richdocumentscode, le serveur Collabora CODE intégré à Nextcloud, et non les serveurs Collabora Online autonomes. L’avis de sécurité précise aussi que les deux CVE désignent des vulnérabilités différentes.
Une faille propre au serveur CODE intégré
CVE-2026-110447 est une injection de commandes système dans proxy.php. Selon la description de la GitHub Advisory Database, elle peut permettre l’exécution de code à distance lorsque le serveur CODE local ne fonctionne pas. L’application concernée est celle intégrée à Nextcloud, richdocumentscode : les serveurs Collabora Online autonomes ne sont pas touchés par cette faille.
La description de l’avis vise les versions antérieures à 26.4.303. Pasquale Pillitteri indique que la version 26.4.303 ou une version ultérieure corrige le problème. NeoTeo avait déjà consacré un article à une alerte concernant l’application CODE de Nextcloud.
Le correctif ne supprime pas les web shells déjà installées
Pasquale Pillitteri rapporte que des requêtes GET sans authentification visant /apps/richdocumentscode/proxy.php?status ont servi à déposer des web shells PHP, de petits scripts permettant d’exécuter des commandes sur le serveur. Dans les cas décrits, ces fichiers s’exécutaient avec les droits du compte utilisé par le serveur web, généralement www-data. Pillitteri recense trois signalements publics, dont un concernant plusieurs serveurs, sans décompte global des machines touchées. Son récit des incidents précise qu’une mise à jour ne supprime pas une web shell déjà déposée et que désactiver l’application ne corrige pas la faille.
The Hacker News a également publié un avertissement recommandant de mettre à jour l’application ou de la supprimer. Son message original accompagne les signalements d’incidents :
Que faire après la mise à jour ?
Pillitteri recommande de mettre richdocumentscode à jour vers la version 26.4.303 ou ultérieure, ou de supprimer l’application. Il conseille ensuite de rechercher les fichiers shx*.php et shrf*.php dans le dossier de l’application, puis d’examiner les journaux d’accès depuis le 10 septembre, notamment les requêtes vers proxy.php?status et les motifs suspects rapportés. Si une web shell est trouvée, il recommande de renouveler les secrets accessibles au compte du serveur web. Les étapes rapportées par Pillitteri distinguent ainsi la correction de la faille de la recherche d’un fichier déjà installé.
