Nextcloud : la faille exploitée de Collabora intégré entre au catalogue KEV
Bulletin du 24 octobre 2026. La CISA a inscrit le 23 octobre CVE-2026-110447 à son catalogue des vulnérabilités exploitées. Cette nouvelle alerte renforce la priorité d’un correctif déjà disponible : l’avis de Collabora date du 14 octobre et des compromissions étaient signalées auparavant.
La vulnérabilité concerne Collabora Online – Built-in CODE Server, l’application Nextcloud nommée richdocumentscode, dans les versions antérieures à 26.4.303. Une injection de commandes permet à un attaquant non authentifié d’exécuter du code avec les droits du serveur web. L’avis éditeur la classe critique, 9,2/10 en CVSS 4.0. L’attaque nécessite que le serveur CODE intégré ne fonctionne pas, situation possible après un redémarrage, une mise à niveau ou un plantage. Les serveurs Collabora Online autonomes ne sont pas concernés.
La mesure vérifiée est de mettre l’application à jour vers 26.4.303 ou ultérieure, ou de la retirer. La désactiver ne suffit pas, précise l’éditeur. Les installations Nextcloud en fin de support, version 29 ou antérieure, doivent être mises à niveau ou se passer de cette application.
Pour une instance exposée, contrôler les journaux et rechercher une éventuelle compromission reste nécessaire : le correctif ferme la faille mais ne supprime pas automatiquement une porte dérobée déjà installée.
Mots-clés suggérés : cybersécurité, Nextcloud, Collabora, exploitation active, correctifs.
Sources :
CISA, ajout de CVE-2026-110447 au catalogue KEV, alerte officielle du 23 octobre 2026
Collabora, GHSA-g3vx-3m76-fghh, avis de sécurité éditeur du 14 octobre 2026
Communauté Nextcloud, alerte et retours d’incidents, fil ouvert le 3 octobre 2026
