CVE-2026-110447 : vérification prioritaire côté PME et ETI

En tant que dirigeants de PME/ETI, la cybersécurité est un enjeu majeur pour la continuité de vos activités. Une nouvelle alerte de la CISA (Cybersecurity and Infrastructure Security Agency) signale une vulnérabilité critique et activement exploitée dans un composant de Collabora Online.^[1] Il est essentiel de comprendre cette menace et d’agir rapidement si votre entreprise est concernée.

Qu’est-ce qui s’est passé ?

Le 23 octobre 2026, la CISA a ajouté une nouvelle vulnérabilité, identifiée sous le nom de CVE-2026-110447, à son catalogue des vulnérabilités connues et exploitées (KEV) CISA cybersecurity advisories.^[2] Cette inclusion est un signal fort : elle signifie qu’il existe des preuves concrètes que cette faille est déjà utilisée par des acteurs malveillants dans le monde réel, notamment en septembre et octobre 2026 mitre.

La CISA et The Hacker News ont spécifiquement identifié que cette vulnérabilité affecte le "Collabora Online Built-in CODE Server" CISA cybersecurity advisories The Hacker News.^[1]

Quel produit est concerné et quel est son rôle ?

Le produit concerné est le Collabora Online Built-in CODE Server. Collabora Online est une suite bureautique collaborative, basée sur LibreOffice, qui permet d’éditer des documents (traitement de texte, tableurs, présentations) directement depuis un navigateur web. Elle est souvent intégrée à des plateformes de partage de fichiers comme Nextcloud.

Le "Built-in CODE Server" est une composante spécifique de cette intégration, particulièrement lorsqu’elle est déployée comme une application Nextcloud (souvent appelée richdocumentscode) mitre. Il est crucial de noter que la vulnérabilité n’est pas présente dans les serveurs Collabora Online autonomes ; seul ce déploiement spécifique avec le CODE Server est affecté mitre.

Comprendre la vulnérabilité (cve-2026-110447)

La vulnérabilité est une "OS Command Injection Vulnerability" (Vulnérabilité d’injection de commandes du système d’exploitation) CISA cybersecurity advisories. Pour le dire simplement, imaginez que votre serveur informatique est un robot qui exécute des ordres. Une "injection de commandes" est comme si un intrus pouvait glisser une instruction secrète dans la liste des tâches du robot, lui faisant faire quelque chose de non autorisé.

Spécifiquement, cette faille se trouve dans le fichier proxy.php du Collabora Online Built-in CODE Server. Elle est exploitable lorsque le serveur CODE n’est pas en cours d’exécution, par exemple juste après un redémarrage du système mitre.

La conséquence technique est l’exécution de code à distance (Remote Code Execution ou RCE) mitre. Cela signifie qu’un attaquant peut envoyer des commandes malveillantes à votre serveur et les faire exécuter comme s’il était directement aux commandes de votre système. The Hacker News a attribué à cette vulnérabilité un score CVSS de 9.2, la classant comme critique The Hacker News.

Quelles sont les conséquences pour votre entreprise ?

Si un attaquant réussit à exploiter cette vulnérabilité, il peut prendre le contrôle total du serveur affecté CISA cybersecurity advisories. Les implications pour votre PME ou ETI peuvent être graves :

• Interruption d’activité : Le serveur peut être rendu inopérant, bloquant l’accès à des documents essentiels et paralysant le travail collaboratif.
• Vol de données : Les informations confidentielles (données clients, propriété intellectuelle, données financières) peuvent être copiées et exfiltrées, menant à des fuites de données massives.
• Atteinte à la réputation : Une fuite de données ou une interruption de service due à une cyberattaque peut gravement nuire à la confiance de vos clients et partenaires.
• Coûts de remédiation : Les efforts pour identifier l’étendue de l’intrusion, nettoyer les systèmes, restaurer les opérations et potentiellement faire face à des amendes réglementaires peuvent être longs et très coûteux.

Exemple concret pour une PME :

Imaginez une PME de conseil qui utilise Nextcloud avec Collabora Online Built-in CODE Server pour gérer ses projets clients, incluant des contrats, des études de marché et des données financières sensibles. Un matin, après un redémarrage planifié du serveur, un attaquant exploite la faille via le proxy.php avant que le serveur CODE ne soit pleinement opérationnel. L’attaquant exécute des commandes pour installer un logiciel malveillant qui copie tous les documents clients vers un serveur externe. La PME découvre la fuite plusieurs jours plus tard, lorsque des clients signalent des tentatives de phishing utilisant leurs données. L’entreprise doit alors faire face à une interruption de ses services, une perte de confiance de ses clients, des enquêtes réglementaires et des coûts importants pour sécuriser ses systèmes et gérer la crise de réputation.

Votre entreprise est-elle concernée ?

Pour savoir si votre entreprise est exposée à cette vulnérabilité, suivez ces étapes et discutez-en avec votre responsable informatique ou votre prestataire :

1. Inventaire : Vérifiez si votre entreprise utilise Collabora Online.
2. Type de déploiement : Si oui, confirmez s’il s’agit d’un "Built-in CODE Server", particulièrement s’il est intégré comme une application Nextcloud (richdocumentscode). Rappelez-vous que les serveurs Collabora Online autonomes ne sont pas affectés mitre.
3. Version : La vulnérabilité concerne les versions de Collabora Online Built-in CODE Server antérieures à la version 26.4.303 mitre.
4. Exposition : Vérifiez si ce serveur est accessible depuis Internet. Une exposition publique augmente considérablement le risque.

Tableau de décision : évaluation de l’exposition à cve-2026-110447

Que faire immédiatement ? (correctif et mitigation)

Demandez au responsable informatique de consulter l’avis officiel et de vérifier les mesures documentées pour le produit et la version concernés.

• Correctif : Mettez à jour votre Collabora Online Built-in CODE Server vers la version 26.4.303 ou une version ultérieure mitre.

Si l’application immédiate du correctif n’est pas possible, des mesures de mitigation temporaires peuvent réduire le risque :

• Isolation réseau : Si possible, restreignez l’accès réseau au serveur affecté, en particulier depuis Internet.
• Surveillance accrue : Mettez en place une surveillance renforcée des journaux d’activité du serveur pour détecter toute tentative d’exploitation ou comportement suspect.
• Redémarrages contrôlés : Soyez particulièrement vigilant après chaque redémarrage du serveur, car c’est un moment de vulnérabilité accrue mitre.

Contrôles après correction

Une fois le correctif appliqué, il est crucial de vérifier son efficacité et l’intégrité de vos systèmes :

• Vérification de la version : Confirmez que la mise à jour a bien été appliquée et que la version du Collabora Online Built-in CODE Server est désormais 26.4.303 ou supérieure.
• Analyse des journaux : Examinez les journaux du serveur pour toute activité suspecte avant et après l’application du correctif. Cherchez des tentatives d’accès non autorisées ou des exécutions de commandes inhabituelles.
• Tests fonctionnels : Assurez-vous que Collabora Online fonctionne correctement après la mise à jour et que les utilisateurs peuvent accéder à leurs documents sans problème.

Points à confirmer et questions à votre prestataire

Pour une gestion efficace de cette alerte, voici les points à clarifier en interne et les questions à poser à votre prestataire informatique :

Points à confirmer par votre organisation :

• Les versions exactes de Collabora Online et de Nextcloud déployées dans votre environnement.
• Le type de déploiement (Built-in CODE Server via Nextcloud app ou serveur autonome).
• L’exposition de ces systèmes à Internet.
• Les dépendances métier critiques associées à ces services.

Questions à poser à votre prestataire informatique ou à votre équipe interne :

• "Utilisons-nous Collabora Online Built-in CODE Server, et si oui, quelle version ?"
• "Est-ce que notre installation est antérieure à la version 26.4.303 ?"
• "Ce serveur est-il accessible depuis Internet ?"
• "Quelles mesures de mitigation pouvons-nous mettre en place en attendant le correctif ?"
• "Comment allons-nous surveiller les signes d’exploitation avant et après la correction ?"

Récapitulatif des faits et implications

Faits confirmés :

• La CISA a ajouté CVE-2026-110447 au catalogue KEV le 23 octobre 2026, indiquant une exploitation active CISA cybersecurity advisories.
• La vulnérabilité affecte Collabora Online Built-in CODE Server (application Nextcloud richdocumentscode) avant la version 26.4.303 mitre.
• Il s’agit d’une injection de commandes du système d’exploitation (OS Command Injection) dans proxy.php, permettant l’exécution de code à distance (RCE) lorsque le serveur CODE n’est pas en cours d’exécution mitre.
• Elle a été exploitée activement en septembre et octobre 2026 mitre.

Implications raisonnables :

• Une exploitation réussie peut entraîner un contrôle total du serveur affecté, menant à des fuites de données, des interruptions de service ou l’installation de logiciels malveillants.
• Les entreprises utilisant le produit concerné avec une exposition publique sont à haut risque et doivent agir sans délai.

Points à confirmer par votre organisation :

• La présence et la version exacte de Collabora Online Built-in CODE Server dans votre inventaire.
• Le niveau d’exposition de ce système à Internet.