Une faille exploitée en silence pendant un mois
La faille CVE-2026-110447, révélée publiquement le 14 octobre 2026, continue de faire des remous dans l'écosystème Nextcloud — et par extension dans celui d'Euro-Office. Des pirates exploitent activement une vulnérabilité critique dans l'application Collabora Online Built-in CODE Server pour Nextcloud, avec des rapports de webshells PHP découverts sur des serveurs compromis. Identifiée sous le nom CVE-2026-110447, la faille permet à des attaquants distants d'exécuter des commandes du système d'exploitation sans authentification préalable.
Ce qui aggrave la situation, c'est l'étendue de la fenêtre d'exposition. Le correctif a été publié dès le 11 septembre 2026, mais l'avis de sécurité officiel n'est apparu sur GitHub que le 14 octobre — soit plus d'un mois plus tard. Des signalements d'exploitation remontent au 10 septembre. Les administrateurs ayant attendu une notification CVE avant d'appliquer le correctif ont donc laissé leurs serveurs exposés pendant environ un mois sans en avoir conscience.
Comment fonctionne l'attaque — et pourquoi « désactiver » ne suffit pas
La faille réside dans le fichier proxy.php, composant de l'application chargé de démarrer le serveur de documents Collabora au sein d'un déploiement Nextcloud. Une requête spécialement forgée peut amener le serveur à exécuter une commande système sous l'identité du compte du serveur web. La vulnérabilité est classée CWE-78 (injection de commande OS).
La faille ne peut être déclenchée que lorsque le serveur de documents local intégré n'est pas en cours d'exécution — par exemple lors d'un redémarrage, d'une mise à jour ou d'un crash. Cette condition peut paraître restrictive, mais elle représente en pratique une fenêtre ouverte régulièrement sur tout serveur actif.
L'avis de sécurité de Collabora du 14 octobre 2026 avertit que désactiver l'application ne suffit pas : les administrateurs doivent mettre à jour l'app vers la version 26.4.303 ou ultérieure, ou la supprimer définitivement.
Les organisations faisant tourner Nextcloud 29 ou une version antérieure, désormais en fin de vie, sont invitées soit à mettre à jour Nextcloud, soit à retirer l'application.
La faille affecte l'application richdocumentscode dans toutes ses versions antérieures à la 26.4.303 et se voit attribuer un score CVSS v4 de 9,2 — niveau critique.
Les serveurs Collabora Online autonomes (non intégrés via l'app built-in) ne sont pas affectés.
Ce que cela signifie pour l'écosystème Euro-Office
Pour les utilisateurs d'Euro-Office, la situation mérite une clarification. Euro-Office — la suite bureautique souveraine co-portée par Nextcloud et IONOS — s'appuie sur Nextcloud comme socle de collaboration.
Les serveurs Collabora déployés de façon autonome, y compris chez un hébergeur, sans l'application richdocumentscode installée en sus, ne sont pas concernés par cette vulnérabilité.
Autrement dit, les déploiements professionnels d'Euro-Office passant par un serveur Collabora dédié — comme c'est le cas dans les configurations IONOS Nextcloud Workspace — ne sont pas directement exposés à ce vecteur d'attaque.
En revanche,
l'application richdocumentscode est décrite dans le store Nextcloud comme destinée aux tests locaux et aux usages non-productifs, ainsi qu'aux petites équipes.
Les administrateurs qui l'auraient installée dans un contexte de test ou de petite structure pour éditer des documents sans serveur Collabora séparé sont, eux, concernés et doivent agir sans délai.
Des rapports publics évoquent des exploitations réussies, des webshells PHP plantés, et des tentatives de recherche de bases de données de mots de passe et de fichiers de portefeuilles de cryptomonnaies.
Mise en perspective
Cet épisode illustre une tension structurelle dans les écosystèmes open source : le délai entre la publication d'un correctif et la formalisation d'un avis de sécurité officiel. Dans son billet de blog du 15 octobre 2026, Collabora a expliqué que
