Nextcloud : le serveur Collabora CODE exploité (CVE-2026-110447)

CVE-2026-110447 est une injection de commande système non authentifiée dans l'application Collabora Online - Built-in CODE Server (richdocumentscode) pour Nextcloud, notée CVSS v4 9,2. Elle est exploitée depuis la mi-septembre pour déposer des webshells PHP. Si vous opérez Nextcloud Office avec le serveur CODE intégré, mettez à jour maintenant : désactiver l'application ne suffit pas.

Source côté francophone : IT-Connect. Les attaques ont d'abord été remontées par des administrateurs dans le ticket GitHub #354 de richdocumentscode ; le bulletin officiel GHSA-g3vx-3m76-fghh date du 14 octobre. C'est une faille distincte de CVE-2025-66208.

Ce que fait la faille

Le problème est dans proxy.php, le script qui démarre le serveur CODE quand il n'écoute pas. Jusqu'à la version 26.4.302, du texte issu de la requête — y compris le chemin — était inséré dans une commande Bash entre guillemets doubles. Une séquence $(...) est donc exécutée par le shell, avec les droits du compte du serveur web. Aucune authentification ni interaction n'est requise. La fenêtre s'ouvre dès que le serveur CODE n'est pas lancé : redémarrage de conteneur, mise à jour ou plantage.

Point clé : proxy.php est servi directement par le serveur web, sans charger le code de Nextcloud. Désactiver l'application ne bloque donc pas l'accès au script.

Versions concernées

• richdocumentscode antérieur à 26.4.303 — le code fautif figure jusqu'à la 26.4.302 incluse.
• Corrigé en 26.4.303, publiée le 11 septembre (sans mention de sécurité à l'époque).
• Non concernés : les serveurs Collabora Online autonomes (Docker, paquets RPM/DEB, Nextcloud All-in-One) et les installations Nextcloud Office sans l'application intégrée.

État de l'exploitation

Avérée. Les premières requêtes vers proxy.php?status remontent au 10 septembre (19h51) et au 11 septembre (9h56), heure locale. Les attaquants déposaient un webshell PHP d'une ligne dans le dossier de l'application, puis tentaient d'envoyer le résultat de uname -a vers une adresse webhook.site ; sur au moins un serveur, l'opérateur a cherché des coffres de mots de passe et des fichiers de portefeuilles de cryptomonnaies. Nextcloud dit ne pas constater d'exploitation massive. Aucun accès root ni aucun groupe n'est signalé.

Que faire aujourd'hui

1. Mettre à jour richdocumentscode en 26.4.303 ou supérieur, ou supprimer l'application. La désactivation est insuffisante.
2. Rechercher les webshells nommés shx*.php, en commençant par apps/richdocumentscode.
3. Analyser les journaux du serveur web depuis le 10 septembre : requêtes vers proxy.php?status contenant %2e%2e, $( ou ${IFS}. Adresses IP signalées : 139.28.18.122 et 89.38.98.50.
4. En cas de trace, présumez la compromission : renouvelez les identifiants et le matériel de portefeuille accessibles au compte du serveur web.

Contexte

Attention au chemin de mise à jour : la version 26.4.402 (24 septembre) empêche le serveur CODE de démarrer sur certaines configurations PHP-FPM dont open_basedir n'autorise pas /dev/null, et des administrateurs sont revenus à la 26.4.303. Le schéma est connu pour les services auxiliaires embarqués : un correctif glissé discrètement dans une version de routine, des semaines avant l'avis, laisse une fenêtre à qui lit l'historique des commits.