Nextcloud : des pirates installent des webshells via l’application Built-in CODE Server de Collabora, à mettre à jour ou supprimer

Une faille critique de l’application optionnelle Collabora Online - Built-in CODE Server pour Nextcloud permet à n’importe qui d’exécuter des commandes système sur le serveur sans s’authentifier. Exploitée depuis au moins le 10 septembre, elle n’a fait l’objet d’un avis de Collabora, CVE-2026-110447, que le 14 octobre.

Ce qui s’est passé

Le 14 octobre 2026, Collabora a publié l’avis CVE-2026-110447 (CVSS 4.0 : 9,2) : une injection de commandes sans authentification dans le fichier proxy.php de l’application Nextcloud Collabora Online - Built-in CODE Server (richdocumentscode). Cette application permet de faire tourner une suite bureautique sur le même serveur que Nextcloud, sans installation Collabora séparée. Une requête forgée suffit pour faire exécuter une commande système avec les droits de l’utilisateur du serveur web.

L’avis arrive tard, les attaques beaucoup plus tôt. Dès le 11 septembre, un administrateur hébergeant plusieurs serveurs Nextcloud signalait sur la page GitHub de l’application des intrusions réussies depuis la veille, journaux du 10 septembre à l’appui. D’autres ont ensuite décrit l’apparition de fichiers PHP nommés shx…php dans leur installation, ou des tentatives de sudo ratées sur le serveur. La version corrigée, 26.4.303, est sortie le 11 septembre.

Qui est concerné

Toute instance Nextcloud équipée de l’application Built-in CODE Server dans une version antérieure à 26.4.303. La faille n’est exploitable que lorsque le serveur bureautique intégré est arrêté : redémarrage du conteneur, mise à jour, plantage. Désactiver l’application ne suffit pas, prévient Collabora : il faut la mettre à jour ou la supprimer. Les serveurs Collabora Online autonomes ne sont pas touchés.

Que faire maintenant

1. Vérifiez la présence de l’application : sudo -u www-data php occ app:list | grep richdocumentscode.
2. Mettez-la à jour en 26.4.303 ou plus (occ app:update richdocumentscode), ou supprimez-la (occ app:remove richdocumentscode). Sur un Nextcloud 29 ou antérieur, qui n’est plus maintenu, mettez à niveau Nextcloud ou retirez l’application.
3. Cherchez les webshells : find /var/www/nextcloud -name 'shx*.php', puis occ integrity:check-core. Supprimez tout fichier trouvé.
4. Épluchez les journaux du serveur web depuis le 10 septembre : requêtes vers le proxy.php de l’application venant d’adresses inconnues, processus inhabituels lancés sous www-data.
5. Si un webshell était présent, considérez le serveur comme compromis : le compte du serveur web peut lire config.php. Changez le mot de passe de la base de données, les secrets et les mots de passe administrateurs, et reconstruisez de préférence le serveur.

Notre avis

Un module optionnel installé en un clic devient une porte d’entrée sur tout le Nextcloud. Tenez l’inventaire des applications réellement utilisées, retirez les autres, et n’attendez pas un numéro de CVE pour installer une mise à jour que la communauté présente déjà comme un correctif de sécurité.

Sources

• Collabora Online — Unauthenticated OS command injection in the richdocumentscode proxy (GHSA-g3vx-3m76-fghh)
• GitHub — richdocumentscode issue #354: Security issue - Hack
• The Hacker News — Hackers Backdoor Nextcloud Servers Through Critical Flaw in Collabora’s Built-in CODE App

Comment nous choisissons, vérifions et rédigeons nos analyses →