Un correctif discret, un avis tardif : la chronologie qui dérange
La communauté Nextcloud ne s'est toujours pas remise du choc de CVE-2026-110447, la faille critique d'exécution de commandes à distance dans l'application Collabora Online – Built-in CODE Server (richdocumentscode). Mais un nouveau rebond vient alimenter le débat : non plus sur la nature de la vulnérabilité, mais sur les conditions de sa divulgation.
Le correctif avait été commis dès le 9 septembre 2026, la première exploitation documentée remontant au 10 septembre, et la version 26.4.303 publiée dès le 11 septembre — soit plus d'un mois avant la publication de l'avis officiel de Collabora, le 14 octobre.
Dès le 3 octobre, un membre du forum Nextcloud avait alerté la communauté que la faille était « déjà exploitée » et qu'aucun CVE ni avis officiel n'avait encore été publié. La formalisation ne viendra que le 14 octobre.
Collabora met en cause les embouteillages de GitHub
Face aux questions soulevées par cette chronologie, Collabora a publié le 15 octobre un billet de blog pour expliquer son point de vue. Collabora y indique que le délai de traitement des CVE par GitHub était passé d'environ une journée à plusieurs semaines, et que la société a entrepris des démarches pour devenir CVE Numbering Authority (CNA) afin de pouvoir soumettre ses CVE directement.
Collabora a également précisé que son équipe avait examiné, traité, corrigé et publié l'équivalent d'une décennie de rapports de sécurité au cours de l'année 2026, désignant l'engorgement de la base de données advisory de GitHub comme le principal facteur du retard de l'annonce officielle.
Dans ce même billet, Collabora attribue cet engorgement à l'augmentation des volumes de rapports de sécurité générés par des outils d'IA, qui mettraient le système de traitement des CVE sous forte pression.
Pour sa part, Nextcloud a fourni une explication différente : la société a indiqué à BleepingComputer que Collabora avait signalé la vulnérabilité mi-septembre et qu'une mise à jour avait été rendue disponible via l'App Store, justifiant le délai de divulgation par la volonté de donner aux utilisateurs le temps de se mettre à jour, et par l'absence d'exploitation généralisée observée.
Cette explication est difficile à concilier avec les rapports d'administrateurs. Trois administrateurs ont signalé des compromissions, la première attaque enregistrée dans les journaux remontant au 10 septembre 2026.
Ce que cela change pour l'écosystème Euro-Office
L'affaire dépasse le seul périmètre technique. Elle met en lumière une tension structurelle dans la chaîne de divulgation des vulnérabilités affectant la plateforme sur laquelle repose Euro-Office.
L'application richdocumentscode publiée par Collabora télécharge et exécute une copie locale de Collabora Online Development Edition (CODE) directement sur le serveur Nextcloud, permettant l'édition de documents sans serveur Collabora séparé — une configuration présentée comme destinée aux tests locaux et aux petites équipes.
L'avis de Collabora précise que les serveurs Collabora Online autonomes (déploiements de production) ne sont pas affectés. L'impact sur les déploiements Euro-Office en production via IONOS Nextcloud Workspace, qui s'appuient sur une instance Collabora dédiée, serait donc théoriquement limité. Mais la question de gouvernance, elle, reste entière.
La candidature de Collabora au statut de CNA est le vrai signal de fond : si elle aboutit, l'entreprise pourra émettre et publier ses propres CVE sans dépendre d'un tiers. C'est une professionnalisation bienvenue — et un aveu indirect que le système actuel n'est plus adapté à un acteur clé de la souveraineté numérique européenne.
