Des attaquants exploitent une vulnérabilité critique d’exécution de commandes dans l’application Collabora Online - Built-in CODE Server, connue sous le nom de richdocumentscode, au sein de la plateforme Nextcloud. La vulnérabilité porte l’identifiant CVE-2026-110447, tandis que des rapports d’administrateurs indiquent que l’exploitation a commencé à la mi-septembre, soit environ un mois avant la publication de l’alerte de sécurité officielle et de l’identifiant CVE.
Que se passe-t-il ?
La vulnérabilité affecte les versions de richdocumentscode antérieures à la version 26.4.303 et se trouve dans le mécanisme d’exécution du serveur Collabora intégré à l’application Nextcloud. L’attaquant peut envoyer une requête spécialement conçue au point de terminaison proxy.php, ce qui entraîne l’injection et l’exécution de commandes du système d’exploitation.
L’exploitation ne nécessite ni authentification ni interaction de l’utilisateur, mais une condition importante doit être remplie : le serveur CODE intégré doit être à l’arrêt, ce qui peut se produire après un redémarrage ou une mise à niveau du serveur, ou à la suite d’une panne. Des administrateurs ont indiqué que l’activité malveillante avait touché plusieurs points de terminaison depuis le 10 septembre.
Étendue de l’impact et mesures correctives
L’impact se limite à l’application CODE Server intégrée et optionnelle. Selon Collabora, les serveurs Collabora Online autonomes, les installations via Docker et RPM/DEB, ainsi que les distributions Nextcloud All-in-One ne sont pas concernés.
Selon les déclarations des administrateurs, les attaquants ont implanté des portes dérobées écrites en PHP, puis les ont utilisées pour rechercher des bases de données de mots de passe, des fichiers liés à des gestionnaires de mots de passe et des portefeuilles de cryptomonnaies. Certains utilisateurs ont indiqué que des opérateurs de rançongiciels exploitaient également la vulnérabilité, mais BleepingComputer n’a pas pu le confirmer indépendamment.
Il est recommandé d’effectuer la mise à jour vers la version 26.4.303 ou une version ultérieure, ou de supprimer l’application si elle n’est pas nécessaire. L’éditeur avertit que la simple désactivation de l’application ne constitue pas une mesure corrective suffisante. Une entité communautaire a également publié une alerte le 3 octobre, appelant à une mise à jour immédiate en raison de la poursuite de l’exploitation.
Pourquoi cette actualité est-elle importante ?
Le risque pratique réside dans le délai entre la disponibilité du correctif et la divulgation officielle. Le correctif a été envoyé au dépôt le 9 septembre et la version corrigée a été publiée le 11 septembre, tandis que l’alerte et l’identifiant CVE n’ont été publiés que le 14 octobre, soit un écart de plus de quatre semaines. Durant cette période, il était plus difficile pour les administrateurs d’identifier le problème et de le relier à une activité d’attaque en cours.
Nextcloud a déclaré que Collabora l’avait informée de la vulnérabilité à la mi-septembre et que la mise à jour était devenue disponible via la boutique d’applications, justifiant le retard de la divulgation par la volonté de laisser aux utilisateurs le temps d’effectuer la mise à jour et par l’absence d’exploitation à grande échelle observée. Collabora a principalement attribué ce retard à l’accumulation des demandes de traitement des CVE sur GitHub, dans un contexte d’augmentation des rapports de vulnérabilités produits avec l’aide d’outils d’intelligence artificielle.
Une étude citée par la source et réalisée par l’entreprise de cybersécurité Second Security indique que le délai médian entre les correctifs publics et la publication des identifiants CVE a atteint 39 jours en août, contre 5,1 jours en janvier. L’étude a également constaté que des codes d’exploitation publics pouvaient apparaître quelques heures après la publication du correctif et plusieurs jours avant la publication du CVE, ce qui renforce l’importance de surveiller les mises à jour des produits eux-mêmes et de ne pas attendre le seul numéro CVE pour prendre des mesures défensives.