Des serveurs Nextcloud, l’outil de partage de fichiers que beaucoup de PME hébergent elles-mêmes, ont été piratés via une application optionnelle de bureautique en ligne. La faille avait été corrigée le 11 septembre 2026, mais sans être présentée comme une mise à jour de sécurité : l’alerte officielle n’est arrivée que le 14 octobre. Un cas qui montre pourquoi on ne peut pas attendre les alertes pour mettre à jour.
Ce qui s’est passé
Nextcloud permet de stocker, partager et modifier des documents en ligne, un peu comme un Google Drive installé chez soi. Pour éditer des fichiers Word ou Excel dans le navigateur, on peut y ajouter une application gratuite de l’éditeur Collabora, appelée « Built-in CODE Server ». Elle fait tourner un petit serveur de documents directement sur le serveur Nextcloud. Sa fiche indique qu’elle vise les tests, l’usage personnel ou les petites équipes.
Le 10 septembre, un administrateur qui gère plusieurs serveurs Nextcloud découvre qu’ils ont été piratés. Deux autres administrateurs signalent ensuite la même chose. Collabora avait déjà écrit la correction, présentée comme un simple « rangement » du code. La version corrigée sort le 11 septembre, sans aucune mention de sécurité. Le 3 octobre, un membre de la communauté Nextcloud alerte les autres utilisateurs. L’avis de sécurité officiel n’est publié que le 14 octobre (The Hacker News, 14 octobre 2026).
Le nombre de serveurs touchés n’est pas connu.
Comment l’attaque a fonctionné
Quand le serveur de documents est arrêté (redémarrage, mise à jour, plantage), un petit programme le relance automatiquement. Ce programme recopiait une partie de l’adresse web demandée dans une commande envoyée au système. Un attaquant pouvait donc cacher une commande dans une adresse, sans mot de passe, et le serveur l’exécutait.
L’attaquant s’en est servi pour déposer une « porte dérobée web » : un petit fichier qui lui permet ensuite de lancer ce qu’il veut sur le serveur, à distance. Sur l’un des serveurs, il a cherché des fichiers de gestionnaires de mots de passe et des portefeuilles de cryptomonnaies. Les journaux examinés ne montrent pas d’envoi de fichiers vers l’extérieur, mais l’administrateur recommande de considérer comme exposé tout ce que le serveur pouvait lire.
Point important : désactiver l’application ne fermait pas la faille. Il faut la mettre à jour ou la supprimer.
Ce qu’on ne sait pas encore
- Qui est derrière l’attaque, et dans quel but.
- Combien de serveurs ont été touchés, et ce qui a été réellement lu.
- Pourquoi l’éditeur n’a pas signalé tout de suite que sa correction réglait un problème de sécurité.
Ce que ça change pour une PME
Si vous utilisez Nextcloud, chez vous ou chez un hébergeur, demandez à votre prestataire de vérifier ce point. Plus largement :
- Faites l’inventaire des applications et extensions installées sur vos serveurs et sites (Nextcloud, WordPress…). Supprimez celles qui ne servent plus : désactiver ne suffit pas toujours.
- Mettez à jour selon un rythme régulier, pas seulement quand une alerte sort. Ici, attendre l’alerte, c’était laisser un mois d’avance à l’attaquant.
- Faites lire les alertes automatiques de vos outils. C’est un contrôle d’intégrité de Nextcloud, qui signalait un fichier inconnu, qui a permis à un administrateur de découvrir l’intrusion.
- Après une correction tardive, cherchez des traces d’intrusion antérieure et changez les mots de passe que le serveur connaissait.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Avons-nous la liste à jour des applications et extensions installées sur nos serveurs accessibles depuis Internet ?
- Qui a décidé d’installer chez nous un composant que son éditeur présente comme destiné aux tests ?
- Mettons-nous à jour nos outils à un rythme fixe, ou seulement quand une alerte est publiée ?
- Qui reçoit et lit les alertes automatiques de nos serveurs, comme l’apparition d’un fichier inconnu ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossier : Équipements exposés et correctifs
Cet article prolonge notre bulletin de veille du 15 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.