Le 23 octobre 2026, la CISA a ajouté CVE-2026-110447 à son catalogue des vulnérabilités exploitées, après avoir relevé des indices d’exploitation active. La faille concerne l’application Nextcloud facultative richdocumentscode, qui intègre le serveur Collabora CODE : les versions antérieures à 26.4.303 sont vulnérables, et la désactiver ne suffit pas à corriger le problème.

La date limite du 26 octobre inscrite par la CISA s’applique aux agences fédérales américaines visées par la directive BOD 26-04. La CISA invite les autres organisations à traiter en priorité les vulnérabilités de son catalogue KEV, sans leur appliquer cette échéance fédérale.

La faille concerne le serveur CODE intégré

CVE-2026-110447 est une injection de commandes système sans authentification. Une requête vers proxy.php peut exécuter une commande avec les droits du compte du serveur web lorsque le serveur CODE intégré ne fonctionne pas, notamment après un redémarrage, une mise à niveau ou un plantage. Collabora a classé la faille comme critique, avec un score CVSS 4.0 de 9,2.

Le seuil concerne la version de l’application richdocumentscode, et non celle de Nextcloud : Collabora indique que les versions antérieures à 26.4.303 sont touchées. Les serveurs Collabora Online autonomes ne sont pas concernés, selon l’avis de sécurité de Collabora.

Pour les installations sous Nextcloud 29 ou une version antérieure en fin de vie, Collabora recommande de mettre à niveau Nextcloud ou de supprimer l’application. NeoTeo avait déjà évoqué l’exploitation de cette faille dans un précédent article sur CVE-2026-110447.

Mettre à jour ou supprimer l’application

Collabora recommande de mettre richdocumentscode à jour vers la version 26.4.303 ou une version ultérieure, ou de supprimer l’application. La désactiver dans Nextcloud ne suffit pas : les fichiers de l’application restent accessibles directement.

Les contrôles conseillés par CERT Polska

CERT Polska recommande aux administrateurs de rechercher plusieurs indicateurs liés à cette faille :

  • des fichiers shx*.php dans apps/richdocumentscode ;
  • des requêtes suspectes vers proxy.php?status contenant %2e%2e, $( ou ${IFS} ;
  • des tentatives de commandes sudo lancées par le compte du serveur web.

Le 16 octobre, ACN / CSIRT Italia a fait état d’un serveur Nextcloud compromis en Italie. Dans ce cas, l’attaquant avait installé trois web shells, des scripts permettant d’exécuter des commandes, et dérobé un fichier de configuration contenant des identifiants et des secrets applicatifs. Dans son bulletin, l’agence indiquait ne pas avoir trouvé d’indice d’accès aux documents des utilisateurs, d’élévation de privilèges administratifs, de persistance supplémentaire ou de déplacement latéral dans cette enquête.

Le 20 octobre, CERT Polska a déclaré que la vulnérabilité était utilisée dans des attaques par rançongiciel. Dans une observation du catalogue CISA datée du 24 octobre, le champ consacré à l’usage connu de rançongiciels portait la mention « Unknown ».