Collabora Online, dans sa variante CODE Server intégrée à Nextcloud, contient une faille critique identifiée CVE-2026-110447. Sa fiche à la National Vulnerability Database (NVD), le répertoire public des vulnérabilités tenu par le NIST américain, la note 9,2 sur 10. Un correctif existe : la version 26.4.303 ou plus récente.
C’est quoi ?
Une faille permet à une personne extérieure de faire exécuter ses propres instructions sur le serveur qui héberge vos documents. Collabora a publié un correctif.
Nextcloud est un espace de fichiers en ligne qu’une entreprise héberge sur son propre serveur ou chez un hébergeur. Pour modifier un document directement dans le navigateur, on y ajoute souvent l’application richdocumentscode, qui embarque le CODE Server de Collabora. La fiche NVD et le catalogue KEV de la CISA précisent que le problème se manifeste lorsque ce composant n’est pas en fonction, juste après un redémarrage par exemple. Imaginez une porte de garage motorisée : quand le moteur est hors service, la porte ne se referme plus et n’importe qui peut la soulever. Le nom technique est l’exécution de code à distance : un inconnu fait tourner ses propres commandes sur votre machine, comme s’il était assis devant.
Pourquoi c’est grave ?
La gravité est de 9,2 sur 10 selon la fiche NVD, et l’exploitation est confirmée, pas seulement théorique.
Le score CVSS 4.0 de 9,2 sur 10 a été attribué par l’organisme déclarant (CNA), selon la fiche NVD publiée le 14 octobre 2026. La CISA a ajouté la faille à son catalogue des vulnérabilités activement exploitées le 23 octobre 2026, et la fiche NVD mentionne une exploitation dans la nature en septembre et octobre 2026. En langage d’affaires : un serveur de documents pris en main de l’extérieur, ce sont des contrats, des devis, des dossiers clients et des renseignements personnels accessibles. S’ajoutent une plateforme de travail à l’arrêt le temps du nettoyage et un risque de fraude si des factures ou des coordonnées bancaires s’y trouvent. Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé impose de tenir un registre des incidents de confidentialité. Elle oblige aussi à notifier la Commission d’accès à l’information lorsque le risque de préjudice sérieux est présent.
Ça touche qui ?
Les versions antérieures à 26.4.303 du CODE Server intégré, utilisé dans l’application richdocumentscode de Nextcloud. Les serveurs Collabora Online autonomes ne sont pas touchés.
L’éditeur est Collabora, et seul le CODE Server intégré à Nextcloud est concerné selon la fiche NVD. Il s’agit d’une vulnérabilité distincte de CVE-2025-66208. Nous n’avons pas de mesure de son adoption au Québec et au Canada. Cabinets professionnels, cliniques, organismes, PME manufacturières, municipalités, coopératives : ce type d’outil attire les organisations qui hébergent elles-mêmes leurs fichiers.
Comment vérifier dans mon entreprise ?
Faites confirmer par votre prestataire informatique la présence de l’application d’édition en ligne sur votre serveur Nextcloud, puis sa version.
- Vérifier dans la liste des applications de la console d’administration Nextcloud si richdocumentscode est installée (prestataire informatique).
- Comparer la version du CODE Server intégré avec la version 26.4.303 et planifier le passage au correctif (prestataire informatique ou fournisseur du logiciel).
- Faire confirmer si votre serveur Nextcloud est accessible depuis Internet (fournisseur d’hébergement).
- Faire examiner les journaux du serveur, l’historique des connexions et des actions enregistré automatiquement, depuis septembre 2026, pour repérer toute activité inhabituelle (prestataire informatique).
Mise en situation
Exemple fictif : une clinique dentaire qui n’a pas appliqué le correctif.
La clinique partage ses radiographies, ses plans de traitement et son horaire dans Nextcloud. Un lundi matin, les documents ne s’ouvrent plus et des fichiers ont changé de place. Le technicien coupe l’accès; la journée se passe au papier et au téléphone. Puis vient la partie la plus coûteuse : établir quels dossiers de patients ont été consultés, consigner l’incident au registre, évaluer l’obligation de notifier, et prévenir les personnes concernées. La remise en service prend du temps; la confiance, davantage.
Quoi faire maintenant
- Installer la version 26.4.303 ou plus récente, comme le demandent Collabora et le forum de Nextcloud.
- Désactiver temporairement l’application d’édition en ligne si ce passage doit attendre, en acceptant la perte de cette fonction.
- Conserver les journaux et les traces, la CISA rappelant qu’un produit sans correctif disponible doit cesser d’être utilisé.
- Inscrire ce composant à votre inventaire de logiciels à surveiller.
FAQ
Nous utilisons Nextcloud, mais pas l’édition en ligne. Sommes-nous concernés ?
La faille vise l’application richdocumentscode, qui fournit l’édition de documents dans le navigateur. Si elle n’est pas installée sur votre serveur Nextcloud, la fiche NVD ne décrit pas d’exposition à cette vulnérabilité. Faites confirmer le tout par votre prestataire.
Notre serveur n’est pas accessible depuis Internet. Est-ce suffisant ?
C’est un facteur qui réduit fortement l’exposition, sans la supprimer. Un ordinateur du bureau déjà aux mains d’un attaquant peut suffire, tout comme des droits d’accès internes trop larges, qui laissent un employé ou un appareil atteindre des systèmes sans rapport avec son travail. Il n’existe pas de protection absolue et aucun prestataire ne peut garantir un risque zéro. La mesure demandée par la CISA reste la même : appliquer les correctifs de l’éditeur.
Peut-on nous garantir que cela ne se reproduira pas ?
Non, et méfiez-vous de tout discours qui promet une protection totale. Ce que vous pouvez faire, c’est rendre ce scénario nettement plus difficile. Tenez un inventaire des logiciels utilisés, suivez les avis du Centre canadien pour la cybersécurité, traitez les correctifs critiques en priorité et conservez des sauvegardes testées.
Sources
- Fiche CVE-2026-110447 de la National Vulnerability Database · NIST, 14 octobre 2026
- CISA, Known Exploited Vulnerabilities Catalog · CISA, ajout le 23 octobre 2026
- Avis de sécurité (help.nextcloud.com) · help.nextcloud.com
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
- Centre canadien pour la cybersécurité · avis, alertes et mesures de base recommandées
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-110447
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
