Collabora Online, Mautic, Plex : les failles critiques des outils auto-hébergés exposés sur le web

On pense souvent à PHP ou à WordPress quand on parle de failles web, mais les outils auto-hébergés (édition de documents, marketing automation, serveur multimédia) sont tout aussi ciblés : exposés sur Internet, rarement mis à jour, ils sont des proies idéales.

Collabora Online, serveur CODE intégré à Nextcloud (CVE-2026-110447)

• Produit concerné : l'application Nextcloud « Built-in CODE Server » (richdocumentscode). Les serveurs Collabora Online autonomes et les installations qui n'utilisent que l'app Nextcloud Office (richdocuments) ne sont pas concernés.
• Nature : injection de commandes système. Le script proxy.php insère le contenu de la requête dans une commande bash : une requête non authentifiée contenant une substitution de commande exécute du code avec les droits du serveur web. L'attaque ne fonctionne que lorsque le serveur de documents local est arrêté (redémarrage, mise à jour, plantage).
• Versions : toutes les versions antérieures à 26.4.303 (publiée le 11 septembre 2026, nécessite Nextcloud 30 ou plus récent). Des administrateurs signalent que la 26.4.402 empêche l'ouverture des documents sur certaines configurations et sont revenus à la 26.4.303. Nextcloud 29 et antérieur, en fin de vie, ne peuvent pas installer le correctif : mettez Nextcloud à niveau ou supprimez l'app.
• Exploitation : première attaque observée le 10 septembre 2026, avec dépôt de web shells. La faille est au catalogue CISA KEV.
• À faire : mettre à jour ou supprimer l'app (la désactiver ne suffit pas), puis rechercher et supprimer les fichiers shx*.php, examiner les journaux depuis le 10 septembre (requêtes proxy.php?status contenant %2e%2e, $( ou ${IFS}) et considérer comme potentiellement compromis tout ce que le compte du serveur web peut lire.

Mautic : mettre à jour vers 7.2.2, 6.0.10 ou 5.2.12

• CVE-2026-115188 (CVSS 9,9) : exécution de code à distance via l'import de campagnes, qui copie des fichiers dans un répertoire public sans contrôler leur nom ni leur type. Versions 7.0.0 à moins de 7.2.2. Il faut un utilisateur authentifié disposant des droits d'import, et un serveur web qui respecte les configurations par répertoire (cas d'Apache dans l'image Docker officielle).
• CVE-2026-115189 (CVSS 8,8) : injection de template Twig. Un utilisateur disposant de la permission de création de thèmes peut échapper au bac à sable et exécuter des commandes.
• Versions corrigées : 7.2.2 (publiée le 26 octobre 2026), ainsi que 6.0.10 et 5.2.12 pour les anciennes branches, selon une source secondaire. Confirmez-les dans l'avis officiel du projet.
• En attendant : restreindre l'import de campagnes, la création de thèmes et les permissions d'API à des administrateurs de confiance, et bloquer l'exécution de scripts dans le répertoire media/.
• Aucune exploitation active n'est confirmée à ce jour.

Plex Media Server : la chaîne « Plex2Shell »

Quatre failles de Plex, enchaînées, permettent d'obtenir le jeton administrateur du propriétaire puis d'exécuter du code (score critique de 9,8 pour la chaîne) :

• CVE-2026-96652 : SSRF non authentifiée sur /player/timeline.
• CVE-2026-96654 : injection d'URL sur l'endpoint searchOne.
• CVE-2026-96655 : SSRF authentifiée via le transcodeur.
• CVE-2026-96656 : écriture de fichiers arbitraire via les paramètres du transcodeur, menant à l'exécution de code.

Versions : toutes les versions antérieures à 1.43.3.10861 (publiée le 4 août 2026). Une exploitation réelle est signalée dès le 17 octobre, initialement contre des honeypots pour déployer un cryptomineur. Mettez Plex à jour vers cette version ou une version plus récente.

Comment protéger ses outils auto-hébergés

1. Inventorier : listez chaque service exposé et sa version.
2. Mettre à jour : appliquez les versions corrigées ci-dessus.
3. Réduire l'exposition : derrière un VPN ou un reverse proxy avec authentification plutôt que directement sur Internet.
4. Segmenter : isolez ces services et limitez leurs droits sur le système.
5. Surveiller : suivez le catalogue CISA KEV et conservez les journaux d'accès.

À retenir

Les failles les plus dangereuses sont souvent dans les outils que l'on oublie. Un inventaire à jour et une exposition minimale valent mieux qu'une réaction en urgence.

Sources : The Hacker News, BleepingComputer, Securityonline, notes de version Mautic sur GitHub, CVE Brief. Vérifiez les avis officiels des éditeurs. Photo : panumas nikhomkhai / Pexels.