La faille CVE-2026-110447 franchit une nouvelle étape dans son escalade. Après l'alerte initiale de Collabora le 14 octobre et les premiers rapports d'exploitation publiés dès le 3 octobre sur les forums Nextcloud, c'est désormais une série d'institutions de cybersécurité internationales qui haussent le ton — dont l'américaine CISA et plusieurs CERTs nationaux européens.
La CISA place la faille au rang des exploitations actives confirmées
Le 23 octobre 2026, la CISA a ajouté une nouvelle entrée à son catalogue des vulnérabilités exploitées connues (KEV) : CVE-2026-110447, une injection de commande OS dans l'application Collabora Online – Built-in CODE Server.
L'évaluation de la CISA dans le registre CVE, datée du 23 octobre, qualifie l'exploitation d'« active », indique que la faille est automatisable et que l'impact technique est « total ».
Les agences civiles fédérales américaines (FCEB) étaient tenues de remédier au problème avant le 26 octobre 2026, avec une obligation de triage forensique.
La faille n'est exploitable que lorsque le serveur CODE intégré n'est pas en cours d'exécution — par exemple lors d'un redémarrage, d'une mise à jour ou d'un crash. Collabora lui attribue un score CVSS 4.0 de 9.2 (Critique).
Cinq CERTs nationaux européens tirent la sonnette d'alarme
La mobilisation ne s'est pas limitée aux États-Unis. Entre le 15 et le 21 octobre, pas moins de cinq CERTs nationaux ont publié des alertes : CERT.LV (Lettonie, 15 octobre), le CSIRT Italia de l'ACN (16 octobre), le BSI allemand avec l'identifiant WID-SEC-2026-4011 classé « kritisch » (19 octobre), CERT Polska (20 octobre) et enfin le JPCERT/CC japonais dans son rapport hebdomadaire (21 octobre).
CERT Polska a signalé, dans son avis du 20 octobre 2026, un usage actif de CVE-2026-110447 dans des attaques par rançongiciel et des prises de contrôle de serveurs.
Si CERT Polska évoque le ransomware, le catalogue KEV de la CISA marquait, dans un instantané du 24 octobre, le champ « known ransomware use » comme « Unknown » — une divergence entre sources officielles qui illustre la difficulté à attribuer avec certitude les campagnes en cours.
Les exploitations rapportées au cours des mois de septembre et octobre incluent le dépôt de web shells PHP ainsi que des recherches de credentials et de portefeuilles de cryptomonnaies.
Une chronologie de divulgation qui interroge la gouvernance
Au-delà de l'urgence technique, c'est la gestion de la divulgation qui retient l'attention. Les administrateurs ont attendu 33 jours pour obtenir un CVE : la version corrigée 26.4.303 a été publiée le 11 septembre et l'avis de sécurité n'est arrivé que le 14 octobre.
Collabora a reconnu le problème, indiquant dans un billet de blog que l'obtention d'un CVE via GitHub était passée « d'environ un jour à plusieurs semaines cette année ».
Les serveurs Collabora Online autonomes (standalone) ne sont pas concernés par cette vulnérabilité.
Pour les installations affectées, la seule remédiation valide consiste à mettre à jour l'application richdocumentscode vers la version 26.4.303 ou ultérieure, ou à la désinstaller — la désactiver depuis l'interface Nextcloud ne suffit pas à fermer la faille.
En perspective pour Euro-Office
Pour l'écosystème Euro-Office, qui repose sur Nextcloud comme plateforme de déploiement, cette séquence illustre un risque systémique propre à l'auto-hébergement : une composante facultative, conçue pour les tests et les petites équipes, peut constituer une surface d'attaque en production. Les organisations sont invitées à mettre à jour le composant vers la version 26.4.303 ou ultérieure, à auditer les systèmes potentiellement exposés pour détecter toute compromission, et à cesser son usage si aucune mesure corrective ne peut être appliquée. À l'heure où des administrations publiques et des établissements scolaires migrent vers des solutions souveraines, la maturité des processus de divulgation des acteurs de l'écosystème devient un enjeu de confiance à part entière.
