Nextcloud : deuxième avis CERT-FR en trois mois, deux nouvelles failles dans Mail et Server

Le CERT-FR a publié le 6 août 2026 un nouvel avis de sécurité sur Nextcloud, moins de trois mois après le précédent. Deux vulnérabilités inédites touchent cette fois l'application Mail et le cœur du serveur, avec un risque direct d'atteinte à la confidentialité des données hébergées. Pour les DPO et RSSI qui ont fait de Nextcloud leur alternative souveraine aux clouds américains, ce deuxième avis en si peu de temps interroge sur le rythme de correctifs à absorber.

Ce qui s'est passé

L'avis CERTFR-2026-AVI-0973, publié le 6 août 2026, s'appuie sur deux bulletins de sécurité Nextcloud diffusés la veille : GHSA-99gw-ww6p-f2rr et GHSA-vq3v-jv6f-6xp2. Ils documentent deux vulnérabilités, référencées CVE-2026-61527 et CVE-2026-61545, exposant les organisations à une atteinte à la confidentialité des données et à un contournement de la politique de sécurité.

Sont concernées l'application Nextcloud Mail (versions 3.5.x à 3.7.x antérieures à 3.7.25, 4.x et 5.x antérieures à 5.5.16, 5.6.x antérieures à 5.6.20, 5.7.x antérieures à 5.7.13) ainsi que le serveur lui-même, Nextcloud et Nextcloud Enterprise, en versions 32.0.10 à 32.0.x antérieures à 32.0.12, 33.0.4 à 33.0.x antérieures à 33.0.6, et 34.0.x antérieures à 34.0.1. Les correctifs sont disponibles dans les bulletins de l'éditeur.

C'est le second avis du CERT-FR sur Nextcloud en moins de trois mois. Le précédent, l'avis CERTFR-2026-AVI-0569 du 12 mai 2026, documentait déjà dix vulnérabilités simultanées touchant le serveur, Calendar, Collectives, le chiffrement de bout en bout et l'application Android.

Pourquoi c'est important

Nextcloud s'est imposé ces dernières années comme la solution de référence pour les organisations qui veulent réduire leur dépendance aux hyperscalers américains tout en gardant la maîtrise de leurs données. Mais souveraineté ne signifie pas invulnérabilité : chaque nouvelle faille sur cette brique auto-hébergée est un test grandeur nature de l'obligation de sécurité posée par l'article 32 du RGPD, qui impose de mettre en œuvre des mesures « adaptées à l'état de l'art » pour protéger la confidentialité des traitements.

La récurrence des avis — deux en moins de trois mois sur le même produit — change aussi la lecture qu'un DPO ou un RSSI doit en faire. Un avis isolé peut relever de la gestion courante des correctifs. Une cadence rapprochée signale un besoin de vigilance renforcée sur les modules les plus exposés (ici, l'application Mail, qui manipule potentiellement des données sensibles à chaque échange).

Ce que ça change pour les organisations

Les actions attendues sous 72 heures sont désormais bien identifiées pour ce type d'avis :

Inventorier l'ensemble des instances Nextcloud exposées, en distinguant le serveur (Server et Enterprise) et l'application Mail, dont les cycles de version sont différents. Appliquer les correctifs vers les versions cibles (32.0.12, 33.0.6 ou 34.0.1 pour le serveur ; 3.7.25, 5.5.16, 5.6.20 ou 5.7.13 pour Mail). Auditer les journaux d'accès aux courriels et fichiers pour détecter une éventuelle exploitation antérieure à la publication de l'avis.

Si cet audit révèle un accès non autorisé effectif, l'organisation doit qualifier l'incident au regard de la définition de la violation de données personnelles et, le cas échéant, notifier la CNIL sous 72 heures au titre de l'article 33 du RGPD. Pour les entités relevant de NIS 2, l'obligation de notification à l'ANSSI s'ajoute à celle du RGPD — deux régimes distincts mais souvent déclenchés par le même incident, comme le détaille le guide Leto sur les obligations croisées NIS 2 / RGPD.

Ce que Leto pense de cette décision

Deux avis CERT-FR sur le même produit en moins de trois mois ne doivent pas être lus comme un signal d'alarme sur Nextcloud en particulier, mais comme un rappel utile : la souveraineté d'un outil ne dispense jamais d'un processus de patch management rigoureux. Trop d'organisations traitent encore les solutions auto-hébergées comme intrinsèquement plus sûres parce qu'elles échappent au Cloud Act — c'est un critère de conformité parmi d'autres, pas un brevet de sécurité. Notre recommandation : formaliser un SLA de correctif interne (par exemple 72 heures pour les vulnérabilités critiques touchant la confidentialité) et le documenter comme mesure organisationnelle au titre de l'article 32. C'est ce type de traçabilité, plus que le choix de l'éditeur, qui fera la différence en cas de contrôle CNIL après incident.

Sources : CERT-FR, avis CERTFR-2026-AVI-0973, bulletin de sécurité Nextcloud GHSA-99gw-ww6p-f2rr, bulletin de sécurité Nextcloud GHSA-vq3v-jv6f-6xp2.