MacSouverain

FREN
radar

Nextcloud auto-hébergé, la faille Collabora déjà exploitée

Une faille critique du Collabora intégré à Nextcloud ouvre ton serveur sans mot de passe. Vérifie, cherche l'intrus, mets-le à jour ou supprime-le.

Dans notre article sur le cloud, on t’a conseillé, au niveau 3 de la souveraineté, d’auto-héberger ton Nextcloud, en te prévenant que le contrôle total, c’est la responsabilité totale. Voici la faille qui l’illustre.


Ce qui se passe


La fiche CVE-2026-110447, publiée le 14 octobre, décrit une injection de commande dans une app de Nextcloud, « Collabora Online - Built-in CODE Server », nom technique richdocumentscode. On l’appellera ici le Collabora intégré.

C’est l’option tout-en-un, celle qui embarque un serveur bureautique Collabora directement dans Nextcloud pour éditer tes documents sans rien installer d’autre. Pratique. De quoi déclencher l’intérêt des hackers, visiblement.

Le mécanisme tient en deux lignes. Un script du Collabora intégré, proxy.php, fait le lien entre Nextcloud et le serveur bureautique embarqué. Quand ce serveur bureautique ne tourne pas, après un redémarrage, une mise à jour ou un plantage, une requête bien tournée sur ce script lui fait exécuter des commandes. Sans compte, sans mot de passe, et depuis internet.

En clair, quiconque trouve ton Nextcloud au mauvais moment peut y lancer ses propres commandes. Avec les droits de ton serveur web.

Score CVSS 9,2 sur 10. Toutes les versions du Collabora intégré antérieures à la 26.4.303 sont touchées.

Attention, deux numérotations se croisent dans ce radar. Le Collabora intégré suit celle de Collabora (26.4 pour avril 2026). Nextcloud suit la sienne, dont les versions maintenues vont de 33 à 35. La 26.4.303 citée est une version du Collabora intégré, pas de Nextcloud.


La fiche indique une exploitation en conditions réelles en septembre et en octobre. Sur le terrain, des administrateurs ont signalé des webshells, de petits fichiers PHP qui servent de porte dérobée, déposés dans le dossier du Collabora intégré. Sur au moins un serveur, l’intrus est ensuite allé chercher des coffres de mots de passe et des portefeuilles crypto.

Ce qu’on ne sait pas. La faille n’est pas inscrite au catalogue des failles exploitées de la CISA, l’agence américaine de cybersécurité. Aucun éditeur, aucun CERT, ces équipes nationales de réponse aux incidents, n’a publié de chiffres. On parle de quelques administrateurs touchés, pas d’une campagne massive documentée. Ce qui ne rassure que si tu n’es pas l’un d’eux.


Es-tu concerné ?


Oui, si le Collabora intégré est installé (richdocumentscode dans la liste de tes applis). C’est le cas typique quand tu as voulu la bureautique sans monter un serveur à part.

Non, si ton Collabora tourne à part, en Docker, en paquet Linux ou chez un hébergeur, et que Nextcloud s’y branche avec la seule app Nextcloud Office (richdocuments). Les deux apps ont des noms presque jumeaux. Vérifie celle que tu as, pas celle que tu crois avoir.


Le piège des vieux Nextcloud. La version corrigée du Collabora intégré, la 26.4.303, ne fonctionne qu’à partir de Nextcloud 30. Si ton Nextcloud est en version 29 ou moins, l’App Store ne te la propose même pas et te laisse sur un Collabora intégré encore vulnérable (26.4.104).

Le bouton « Mettre à jour » de la page des applis ne t’en sortira pas. Il faut d’abord mettre à jour Nextcloud lui-même ou supprimer le Collabora intégré, voir l’étape 3.

Le piège de la désactivation. Selon l’avis de Collabora, le script vulnérable est appelé par le serveur web directement . Désactivé ou non, le Collabora intégré reste attaquable, il faut le mettre à jour ou le supprimer.


Ce que tu dois faire


Les commandes ci-dessous valent pour une installation classique, depuis le dossier de Nextcloud, avec l’utilisateur du serveur web (souvent www-data). Avec Nextcloud AIO, préfixe chaque commande occ par sudo docker exec --user www-data nextcloud-aio-nextcloud. Le Collabora intégré peut se trouver dans apps ou dans custom_apps.


1. Vérifie ce que tu as.

cd /var/www/nextcloud
sudo -u www-data php occ status
sudo -u www-data php occ app:list | grep -i richdoc

La première commande donne ta version de Nextcloud, la seconde celle du Collabora intégré (richdocumentscode) et de Nextcloud Office (richdocuments). Pas de richdocumentscode, tu n’es pas concerné.


2. Cherche l’intrus avant de toucher à quoi que ce soit. Le correctif ne sort pas un intrus déjà entré. Les noms observés commencent par shx ou shrf, la liste n’est pas complète.

sudo find . -path ./data -prune -o \( -name 'shx*.php' -o -name 'shrf*.php' \) -print
sudo find apps/richdocumentscode custom_apps/richdocumentscode -name '*.php' -printf '%TY-%Tm-%Td %p\n' 2>/dev/null | sort

Le sudo évite de rater les fichiers que tu n’as pas le droit de lire, et la première commande saute le dossier data, celui de tes fichiers. La seconde liste les PHP du Collabora intégré avec leur date. Une mise à jour réécrit ces dates, cherche donc surtout un nom qui détonne ou un fichier plus récent que ta dernière mise à jour du Collabora intégré.

Puis tes journaux d’accès, au moins depuis le 10 septembre.

sudo zgrep -iE 'proxy\.php.*(%2e%2e|\.\./|%24%28|%24\(|\$\(|ifs)' /var/log/nginx/access.log* /var/log/apache2/access.log* /var/log/httpd/access_log* 2>/dev/null

La commande écarte les appels normaux de Nextcloud à proxy.php et ne garde que les requêtes suspectes (%2e%2e, $(, ${IFS}, souvent encodés). Aucune ligne, c’est bon signe, pas une garantie, les vieux journaux ont pu être effacés. Si tu journalises les connexions sortantes, cherche aussi des appels vers webhook.site, que l’intrus utilise pour vérifier son installation.

Fais cette étape même si ton Collabora intégré est déjà corrigé, l’intrus a pu passer avant.


3. Mets à jour ou supprime. Tout dépend de ta version de Nextcloud, donnée par la première commande de l’étape 1.

Nextcloud 30 ou plus. Mets le Collabora intégré à jour en 26.4.303 ou au-delà. Si tes applis se mettent à jour toutes seules (Nextcloud AIO le fait chaque samedi), c’est sans doute déjà fait, vérifie quand même.

sudo -u www-data php occ app:update richdocumentscode

Sur Nextcloud 30 à 32, le Collabora intégré est alors corrigé, mais Nextcloud lui-même ne reçoit plus de correctifs. Prévois de passer à Nextcloud 33 ou plus.

Nextcloud 29 ou moins. Aucune version corrigée du Collabora intégré ne t’est proposée, mises à jour automatiques ou pas. Deux options. Mettre à jour Nextcloud lui-même, une version majeure à la fois, jusqu’à Nextcloud 33 ou plus, puis le Collabora intégré. Ou supprimer le Collabora intégré tout de suite.

sudo -u www-data php occ app:remove richdocumentscode

Tu perds l’édition de documents dans le navigateur, le temps d’installer Collabora à part, en Docker par exemple. Cette configuration-là n’est pas concernée.


4. Si tu trouves quelque chose. Arrête les processus suspects lancés par www-data, supprime les fichiers en trop, puis considère comme exposé tout ce que ton serveur web peut lire. Mot de passe de la base de données, comptes mail configurés, mots de passe d’application, et tout coffre ou portefeuille posé sur la machine. Tu changes tout.

Et si tu as le moindre doute sur l’étendue des dégâts, réinstaller sur une machine propre coûte moins cher que de chercher l’aiguille dans la botte de PHP.


Un correctif sans bruit


La version 26.4.303 du Collabora intégré est en ligne depuis le 11 septembre, un mois avant la fiche CVE, sans un mot de sécurité dans son journal des modifications. Le même jour, Nextcloud poste sur Bluesky un « Update now for better security » qui renvoie vers un billet de blog consacré à Landlock, un nouveau bac à sable pour Collabora, et à rien d’autre. Toujours le 11 septembre, un premier administrateur signalait une compromission.

Au 15 octobre, aucun avis de sécurité de Nextcloud, rien sur ses comptes Mastodon et Bluesky. Celui de Collabora, selon la presse spécialisée, dort sur son dépôt de code, là où peu d’auto-hébergeurs vont lire.

Coïncidence de dates, rien de plus démontré. Corriger en silence avant d’annoncer est une pratique courante, elle laisse le temps de mettre à jour. Le problème, c’est le message. Un bac à sable plus rapide, ça ne fait se précipiter personne pour une maj.


Auto-héberger reste le bon choix pour reprendre la main sur tes fichiers. Mais un serveur à toi, c’est aussi toi qui fais la ronde de nuit. Personne ne viendra frapper à ta porte pour te dire qu’elle est ouverte.


Sources