Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers

1 minute de lecture

Mis à jour :

Exploitation active de la faille RCE dans Collabora pour Nextcloud

Des attaquants exploitent activement une vulnérabilité critique d’exécution de code à distance (RCE) affectant l’application Collabora Online - Built-in CODE Server (richdocumentscode) pour Nextcloud. Cette faille, identifiée avant sa publication officielle, fait l’objet d’attaques depuis mi-septembre, avec des délais de communication publique ayant retardé la prise de conscience des administrateurs.

Vulnérabilité

  • CVE-2026-110447 : Injection de commandes système via le point de terminaison proxy.php.
  • Conditions d’exploitation : Ne nécessite ni authentification ni interaction utilisateur. Elle survient spécifiquement lorsque le serveur CODE intégré est à l’arrêt (après redémarrage ou crash).
  • Versions affectées : Toutes les versions de richdocumentscode antérieures à 26.4.303.
  • Impact : Installation de webshells PHP, vol de données sensibles (mots de passe, portefeuilles crypto) et potentiellement déploiement de rançongiciels.

Points clés

  • Ciblage limité : Seule l’application intégrée (Built-in CODE Server) est vulnérable. Les installations autonomes, Docker ou Nextcloud All-in-One ne sont pas concernées.
  • Retard de divulgation : Un décalage de plus de quatre semaines a été observé entre le correctif (11 septembre) et la publication du CVE (14 octobre), attribué à une surcharge des autorités de traitement des CVE, aggravée par l’automatisation via l’IA.

Recommandations

  • Mise à jour immédiate : Passer à la version 26.4.303 ou supérieure.
  • Suppression : Si l’application intégrée n’est pas strictement nécessaire, il est conseillé de la désinstaller totalement. Le simple fait de la désactiver est jugé insuffisant par le fournisseur.

Source

Vous pourriez aimer