La Cybersecurity and Infrastructure Security Agency (CISA), l’agence américaine chargée de la cybersécurité des infrastructures, a ajouté le 23 octobre dernier la vulnérabilité CVE-2026-110447 à son catalogue des failles exploitées. Le défaut concerne le serveur CODE intégré de Collabora Online lorsqu’il est utilisé avec Nextcloud, une plateforme open source de collaboration et de partage de fichiers.
Selon la fiche de la CISA, cette injection de commandes système peut permettre une exécution de code à distance lorsque le serveur CODE n’est pas en fonctionnement. La vulnérabilité affecte les versions antérieures à 26.4.303 de l’application richdocumentscode. La date limite de remédiation fixée par l’agence américaine est le 26 octobre 2026 pour les entités soumises à ses directives.
Un périmètre plus étroit que Collabora Online
Le risque ne concerne pas les déploiements autonomes de Collabora Online. Il vise le mode d’installation intégré à Nextcloud, présenté comme une option surtout utilisée par des particuliers et de petites structures. Collabora indique que la faille a été corrigée un mois avant sa divulgation et recommande de mettre à niveau le serveur CODE intégré vers la version 26.4.303 ou une version ultérieure.
L’éditeur précise également que ses clients Collabora Online n’ont pas été affectés. Cette précision ne dispense pas les organisations d’identifier leurs instances Nextcloud, de vérifier la présence de l’application intégrée et de contrôler si le serveur CODE peut être exposé après un redémarrage.
Exploitation observée avant l’inscription au catalogue
La fiche publiée par le National Vulnerability Database (NVD) décrit une exploitation observée dans la nature en septembre et octobre 2026. L’inscription au catalogue KEV constitue donc une évolution distincte de la publication initiale du correctif : elle formalise la nécessité d’un traitement prioritaire pour les systèmes concernés.
Les équipes doivent inventorier les installations Nextcloud utilisant richdocumentscode, appliquer la mise à jour fournie par Collabora et rechercher d’éventuels signes de compromission sur les instances exposées. Les systèmes qui ne peuvent pas être corrigés doivent être isolés ou désactivés conformément à l’évaluation de risque de l’organisation.
Sources
Journaliste spécialisé en télécommunications et technologies numériques couvrant le Maroc et la région MENA.
