Alerte Sécurité : La faille CVE-2026-110447 menace les serveurs Nextcloud via l'application Collabora Online

Le mois de septembre et le début octobre 2026 ont été marqués par une série d'alertes de sécurité significatives dans le monde du développement web. Parmi elles, une vulnérabilité particulièrement préoccupante a été identifiée dans l'application optionnelle « Collabora Online - Built-in CODE Server » de Nextcloud, menant à l'exploitation active de serveurs et au déploiement de web shells.

Contexte de la vulnérabilité : CVE-2026-110447

La faille, désignée sous l'identifiant CVE-2026-110447, permet à des requêtes non authentifiées d'exécuter des commandes sur le serveur. Cette exécution est possible lorsque le serveur de documents local de l'application n'est pas en cours d'exécution, notamment lors de redémarrages, de mises à jour ou après un crash. Les attaquants peuvent insérer des commandes dans le chemin de la requête, que le serveur exécute ensuite avec les privilèges du compte du serveur web.

L'exploitation de cette vulnérabilité a permis le déploiement de « web shells », de petits fichiers malveillants utilisés pour exécuter des commandes à distance. Les premières attaques documentées remontent au 10 septembre 2026, et la vulnérabilité a été activement exploitée tout au long des mois de septembre et d'octobre 2026.

Portée et implications pour les développeurs et administrateurs

L'application concernée, publiée par Collabora sous le nom de paquet richdocumentscode, est conçue pour exécuter une copie de Collabora Online Development Edition (CODE) directement sur le serveur Nextcloud. Son objectif principal est le test local et l'utilisation non-production, ou pour de petites équipes et un usage personnel. Collabora a publié un correctif dans la version 26.4.303 le 11 septembre 2026 et a émis un avis le 14 octobre 2026, soulignant que la simple désactivation de l'application n'était pas suffisante ; une mise à jour ou une suppression complète était impérative.

Bien qu'aucun accès root n'ait été signalé, toute donnée lisible par le compte du serveur web est considérée comme potentiellement exposée. Les attaquants ont été observés à la recherche de magasins d'informations d'identification et de portefeuilles de cryptomonnaies.

Mesures à prendre et analyse sectorielle

Pour les utilisateurs de Nextcloud, il est crucial de mettre à jour l'application richdocumentscode vers la version 26.4.303 ou ultérieure, ou de la supprimer entièrement si elle n'est pas indispensable. Pour les anciennes versions de Nextcloud qui ne peuvent pas installer le correctif, une mise à niveau de Nextcloud ou la suppression de l'application est nécessaire. Après la mise à jour, les administrateurs doivent également vérifier et supprimer tout fichier PHP malveillant résiduel (web shells) et examiner les journaux d'accès pour détecter toute activité suspecte.

Cette vulnérabilité met en lumière plusieurs enjeux structurels du développement web en 2026. Premièrement, la dépendance croissante aux applications tierces, même pour des fonctionnalités optionnelles, introduit des vecteurs d'attaque supplémentaires. La chaîne de confiance logicielle est aussi forte que son maillon le plus faible. Deuxièmement, la distinction entre les environnements de développement/test et de production est souvent floue, poussant des outils conçus pour un usage limité vers des déploiements plus larges sans les considérations de sécurité adéquates. Enfin, la rapidité avec laquelle les exploits sont développés et utilisés en direct (« in the wild ») souligne la nécessité pour les développeurs et les administrateurs de rester constamment informés et de réagir promptement aux avis de sécurité. La gestion des vulnérabilités, en particulier celles qui permettent l'exécution de code à distance (RCE), reste une priorité absolue, comme en témoignent les 94 vulnérabilités à fort impact identifiées en septembre 2026, dont 47 permettaient l'exécution de code à distance.

Alors que l'IA assiste de plus en plus le développement web, avec des outils pour l'aide au codage, le débogage et les tests, cette faille nous rappelle que la vigilance humaine et les bonnes pratiques de sécurité restent irremplaçables. Les cycles de publication plus rapides des navigateurs, comme le passage de Chrome à un cycle de deux semaines, visent à livrer plus rapidement des correctifs et des fonctionnalités, mais cela signifie également une pression accrue pour les équipes de développement afin de maintenir leurs applications à jour et sécurisées.

En somme, la faille CVE-2026-110447 est un rappel concret de l'importance d'une approche proactive de la sécurité web, de la gestion rigoureuse des dépendances et de la mise à jour constante des systèmes, même pour les composants apparemment secondaires.

Sources consultées

• SC Media – Vulnerability in Nextcloud app allowed attackers to plant web shells | brief | SC Media, October 15, 2026
• The Hacker News – Hackers Backdoor Nextcloud Servers Through Critical Flaw in Collabora's Built-in CODE App, October 14, 2026
• Recorded Future – September 2026 CVE Landscape - Recorded Future, October 13, 2026
• Cheapoweb – September 2026 Tech Updates: Google, AI, WordPress & More | Cheapoweb, September 30, 2026
• Vertex AI Search – Web Development Trends 2026: Latest News & Updates, October 17, 2026
• Taction Software – Top Web Development Trends Businesses Need to Follow in 2026 - Taction Software, September 12, 2026
• Red Secure Tech Cybersecurity Blog – Modern Web Development Trends in 2026 | Red Secure Tech Cybersecurity Blog, December 30, 2025