Une injection de commandes silencieuse depuis le mois de septembre
L'alerte est tombée le 14 octobre 2026 : Collabora a publié un avis critique concernant l'application « Collabora Online - Built-in CODE Server » (richdocumentscode) disponible dans Nextcloud, référencée CVE-2026-110447 avec un score CVSS de 9,2.
La faille réside dans le fichier proxy.php de l'application, le script qui démarre le serveur CODE local lorsqu'une requête arrive et qu'aucun processus n'écoute. Jusqu'à la version 26.4.302, le texte de la requête — chemin inclus — se retrouvait intégré dans une commande bash entre guillemets doubles, permettant au shell d'exécuter toute expression de la forme $(...).
L'exploitation n'est possible que lorsque le serveur local est arrêté — par exemple après un redémarrage, une mise à jour ou un crash —, car le script ne construit cette commande qu'au moment où il doit lancer le processus. Une fenêtre d'attaque étroite, mais suffisante : trois administrateurs ont signalé des compromissions, la première attaque enregistrée remontant au 10 septembre 2026.
Le rapport publié dans le dépôt applicatif décrit des compromissions réussies de serveurs Nextcloud. Son auteur a identifié des fichiers PHP non autorisés agissant comme des shells de commande, permettant aux attaquants d'exécuter des instructions avec les privilèges du service web.
Un correctif publié le 11 septembre, un avis public seulement le 14 octobre
Le calendrier de divulgation interpelle. Collabora a publié un correctif le 11 septembre, mais n'a mis en ligne son avis de sécurité que le 14 octobre. Autrement dit, la faille était patchée depuis plus d'un mois avant que les administrateurs soient officiellement alertés — alors que des attaques étaient en cours.
Toutes les versions antérieures à 26.4.303 sont concernées. Désactiver l'application depuis le panneau Nextcloud ne referme pas la brèche : l'app doit être mise à jour ou supprimée.
La vulnérabilité n'affecte pas les serveurs Collabora Online autonomes ; elle est limitée au mode de déploiement avec le serveur CODE intégré.
Ce module permet à des administrateurs qui ne souhaitent pas gérer un second serveur de bénéficier de l'édition de documents directement sur la machine Nextcloud. Le store le décrit comme adapté aux tests locaux et aux usages hors production, pour des configurations personnelles ou de petites équipes.
Une version 26.4.402, publiée le 24 septembre, a réécrit la commande de démarrage pour passer chaque option comme un argument séparé. Cependant, des administrateurs rapportent qu'elle ne démarre pas ou ne parvient pas à ouvrir des documents sur certaines installations, et sont revenus à la 26.4.303. Aucune version plus récente n'était disponible au 14 octobre.
Ce que cela signifie pour l'écosystème Euro-Office
Si Euro-Office utilise son propre moteur d'édition documentaire — distinct du module Collabora CODE intégré ici mis en cause —, l'incident n'en reste pas moins significatif pour tous les administrateurs auto-hébergeurs de Nextcloud. Des milliers d'administrateurs de cloud auto-hébergé installent le serveur CODE intégré pour activer l'édition de documents à l'intérieur de Nextcloud. Nombre d'entre eux font partie de l'écosystème souverain européen que cible précisément Euro-Office.
La mise à jour ou la suppression de l'application est impérative. Les organisations concernées doivent également investiguer les requêtes suspectes et les webshells PHP résiduels, et considérer comme potentiellement exposées toutes les données accessibles par le compte du service web.
L'épisode souligne une tension structurelle de l'open source souverain : la transparence du code facilite l'audit, mais la divulgation tardive d'un correctif — plus de cinq semaines après le patch — laisse une fenêtre dangereuse ouverte pour les déploiements productifs. Un débat que la communauté Nextcloud devra sans doute trancher dans ses prochaines lignes directrices de sécurité responsable.
