Nextcloud : des failles de partage et de disponibilité à vérifier dans les PME

Une série d’avis publiés le 27 octobre, pas une panne générale

Le 27 octobre 2026, le CERT-FR a publié l’avis CERTFR-2026-AVI-1392 sur plusieurs vulnérabilités de Nextcloud, outil de stockage et de collaboration parfois utilisé en interne par des PME, associations et prestataires. Le même jour, le projet Nextcloud a publié plusieurs bulletins techniques. Le CERT-FR évoque notamment des risques pour la confidentialité, le contrôle des accès et la disponibilité. Ces publications attestent des faiblesses corrigées ou documentées, mais ne constituent pas un constat d’attaque dans une entreprise française.

L’avis couvre plusieurs composants : le serveur Nextcloud, mais aussi des applications comme Collectives, Files Confidential et Richdocuments. Les versions affectées varient d’un composant à l’autre. Une entreprise qui utilise seulement un stockage cloud d’un autre fournisseur n’est pas concernée par ces bulletins précis. À l’inverse, une PME dont le prestataire héberge Nextcloud peut être concernée sans que son dirigeant connaisse le nom du logiciel.

Premier cas concret : un lien partagé qui survit à la désactivation d’un compte

Dans le bulletin GHSA-6m4h-j3wr-v388, Nextcloud décrit un défaut précis : après désactivation du compte propriétaire, certains liens de partage public peuvent rester accessibles par des points d’accès alternatifs, alors que l’accès principal est révoqué. Un destinataire qui possède déjà le jeton de partage peut alors, dans les conditions décrites, continuer à consulter les fichiers, voire modifier ceux d’un partage autorisant l’édition. Le risque n’implique pas que tous les fichiers deviennent publics ni qu’un inconnu puisse deviner les liens.

Pour le serveur Nextcloud communautaire, ce bulletin cite comme versions corrigées 32.0.13, 33.0.7 et 34.0.2. Des branches Enterprise plus anciennes disposent de versions correctives spécifiques. La conséquence opérationnelle est importante : désactiver le compte d’un ancien collaborateur ne doit pas être la seule mesure de fermeture des accès. Il faut aussi examiner les liens publics et les autorisations associées.

Second cas : un risque de blocage du service

Un autre bulletin, GHSA-5572-968j-v7g5, décrit un déni de service persistant déclenchable sans authentification via un mécanisme de partage fédéré. L’éditeur indique que certaines écritures malveillantes peuvent rester dans la base de données et renouveler les perturbations. Il recommande notamment les versions corrigées 32.0.13, 33.0.7 ou 34.0.2 pour les branches récentes. Le bulletin évoque la désactivation de la réception des partages fédérés comme mesure de contournement, mais cette décision peut casser une fonction utilisée par les équipes.

L’application Collectives possède également son propre bulletin : dans certaines versions, une personne disposant d’un lien de partage public pouvait créer des pages malgré les attentes de restriction. La version 4.4.0 est indiquée comme corrigée. Il ne faut pas mélanger ces situations : elles concernent des composants et des conditions différents.

Quatre vérifications réalisables pour une petite entreprise

• Identifier qui exploite Nextcloud : prestataire externe, hébergeur managé ou équipe interne. Demander la version du serveur et des applications réellement installées.
• Comparer les versions et les fonctionnalités actives avec les bulletins de sécurité de l’éditeur ; faire planifier une mise à jour avec sauvegarde vérifiée et possibilité de retour arrière.
• Contrôler les liens de partage publics, en particulier ceux créés par des comptes désactivés ou d’anciens salariés. Révoquer les liens inutiles selon la procédure d’administration prévue.
• Après correction, tester le partage de fichiers, l’édition collaborative, la synchronisation mobile et les droits d’accès avec un compte de test, sans exposer de données réelles.

Ce que les sources ne démontrent pas

Les sources consultées ne fournissent ni liste d’entreprises françaises compromises ni mesure indépendante du nombre d’installations exposées. Le risque dépend de la branche, du niveau de correctif, des applications et de la configuration. Les dates de publication des bulletins ne sont pas des dates de compromission. Une entreprise utilisant un service Nextcloud entièrement administré doit demander à son fournisseur la confirmation du correctif, plutôt que modifier elle-même un serveur qu’elle ne contrôle pas.

La priorité est donc un inventaire précis, une mise à jour maîtrisée et une revue des partages. Pour une TPE qui n’utilise pas Nextcloud, cette annonce ne justifie aucun achat ni migration d’urgence. Pour une structure qui stocke des documents clients ou des fichiers RH dans Nextcloud, la vérification mérite d’être planifiée rapidement.