Nextcloud Sicherheitslücken Oktober 2026: Sechs neue Warnungen – diese Versionen schützen dich
Stand: 28. Oktober 2026 · Faktencheck anhand der Nextcloud-Sicherheitsmeldungen vom 27. Oktober und CERT-FR.
Wer seine eigene Cloud betreibt, möchte vor allem eines: Dateien, Fotos und Dokumente unter eigener Kontrolle behalten. Genau deshalb lohnt es sich, bei Sicherheitsmeldungen nicht nur auf die große Versionsnummer von Nextcloud zu schauen. Auch Apps wie Nextcloud Office, Collectives oder Files Confidential können eigene Schwachstellen haben. Ein aktueller Server allein sagt noch nichts darüber aus, ob jede installierte Erweiterung ebenfalls auf einem sicheren Stand ist.
Am 27. Oktober 2026 wurden sechs Sicherheitsmeldungen für Nextcloud und mehrere Apps veröffentlicht. Besonders auffällig ist eine als hoch eingestufte Schwachstelle, über die ein Angreifer unter bestimmten Voraussetzungen ohne Anmeldung einen anhaltenden Denial-of-Service auslösen kann. Andere Meldungen betreffen die Vertraulichkeit öffentlicher Freigaben, eine Umgehung von Sicherheitsabfragen und die Rechte einzelner Apps. Das französische CERT-FR hat die Meldungen am selben Tag in einem gemeinsamen Hinweis zusammengefasst.
Die gute Nachricht vorweg: Für die beschriebenen Probleme sind bereits korrigierte Versionen benannt. Neu ist hier die Veröffentlichung der Sicherheitswarnungen – nicht zwangsläufig die Bereitstellung aller Patches. Wer Nextcloud 34.0.2 oder neuer betreibt, hat die in diesen Meldungen genannten Server-Korrekturen des 34er-Zweigs bereits. Installierte Apps müssen trotzdem separat geprüft werden.
Nextcloud Sicherheitslücken Oktober 2026: Das ist bestätigt
Die sechs veröffentlichten Hinweise betreffen nicht dieselbe Komponente. Drei Meldungen beziehen sich auf den Nextcloud-Server, drei auf zusätzliche Apps. Ihre Auswirkungen reichen von eingeschränkter Verfügbarkeit bis zur Offenlegung von Informationen oder zu unerwarteten Bearbeitungsrechten.
Die wichtigste Meldung trägt die Kennung CVE-2026-77167 und wird mit CVSS 7,5 (hoch) bewertet. Laut Sicherheitsbeschreibung kann ein Angreifer über den Endpunkt für föderierte Freigaben unerwünschte Einträge in einer Datenbanktabelle für externe Freigaben erzeugen. Diese Einträge bleiben bestehen und können wiederholt Belastungen verursachen. Die Schwachstelle ist deshalb nicht einfach mit einem kurzzeitigen Neustart erledigt. Der Hersteller nennt als Gegenmaßnahme ein Server-Update; als vorübergehenden Workaround kann der Empfang föderierter Freigaben deaktiviert werden.
Wichtig ist die Einordnung: Eine veröffentlichte Schwachstelle ist noch kein Nachweis für einen laufenden Angriff auf deine Installation. In den geprüften offiziellen Meldungen wird die technische Auswirkung beschrieben. Eine pauschale Aussage, dass sämtliche Nextcloud-Server bereits kompromittiert seien, wäre nicht gerechtfertigt.
Welche Nextcloud-Versionen sind gegen die Server-Lücken geschützt?
Für die aktuellen Community-Zweige nennen die Sicherheitsmeldungen folgende korrigierte Versionen:
· Nextcloud-Zweig · Korrigierte Server-Version ·
· 34 · 34.0.2 oder neuer ·
· 33 · 33.0.7 oder neuer ·
· 32 · 32.0.13 oder neuer ·
Für ältere und Enterprise-Zweige nennt der Hersteller weitere Versionsstände in den jeweiligen Advisories. Diese Tabelle ist bewusst auf die jüngeren Community-Zweige begrenzt. Ältere, nicht mehr unterstützte Installationen sollten nicht nur auf irgendeinen historischen Patchstand gebracht, sondern auf einen unterstützten Versionszweig migriert werden.
Ein wichtiger Unterschied zur kürzlich diskutierten Collabora-Built-in-CODE-Lücke CVE-2026-110447: Die hier beschriebene DoS-Schwachstelle sitzt im Nextcloud-Server und ist keine Schwachstelle der optionalen App `richdocumentscode`. Wer beides vermischt, könnte eine falsche Maßnahme ergreifen. Die separate Prüfung des Built-in CODE Servers erkläre ich in meinem bestehenden Nextcloud-Collabora-Artikel.
Drei Server-Probleme: Föderation, Freigaben und App-Passwörter
Neben der DoS-Lücke nennt Nextcloud zwei weitere Probleme im Server. CVE-2026-114601 betrifft öffentliche Freigaben deaktivierter Benutzerkonten. Laut Advisory konnte ein Freigabelink über alternative öffentliche Endpunkte weiterhin erreichbar sein, obwohl die reguläre Freigabe-URL nach Deaktivierung des Kontos bereits gesperrt wurde. Bei bearbeitbaren Freigaben war unter Umständen sogar eine Änderung von Inhalten möglich. Für die aktuellen Community-Zweige sind auch hier 32.0.13, 33.0.7 und 34.0.2 als korrigierte Versionen angegeben.
CVE-2026-77172 betrifft eine fehlende erneute Passwortbestätigung bei bestimmten sensiblen Vorgängen, wenn ein App-Passwort beziehungsweise App-Token verwendet wird. Hier nennen die Herstellerhinweise bereits die Versionen 32.0.12, 33.0.6 und 34.0.1 als korrigiert. Wer also 34.0.2 oder neuer verwendet, liegt für beide beschriebenen Server-Probleme oberhalb des angegebenen Fixstands.
Für Administratoren ergibt sich daraus eine klare Reihenfolge: zuerst den tatsächlich installierten Serverstand prüfen, dann die verwendeten Freigabe- und Anmeldefunktionen betrachten. Besonders bei öffentlich erreichbaren Instanzen und bei deaktivierten ehemaligen Benutzerkonten ist die Überprüfung sinnvoll.
Nextcloud Office, Collectives und Files Confidential separat prüfen
Nicht alle sechs Meldungen werden durch ein Nextcloud-Server-Update allein erledigt. Nextcloud Office (`richdocuments`) hatte ein Problem bei der Prüfung von Token-Typen. Dadurch konnten mit einem Benutzer- oder Gast-Token zusätzliche Teile der WOPI-Konfiguration abgefragt werden. Für die betroffenen App-Zweige nennt der Hersteller die korrigierten Versionen 9.1.1, 10.2.1 und 11.0.1. Welche davon für deine Installation gilt, hängt vom installierten App-Zweig ab.
Bei Collectives konnten Empfänger eines öffentlich geteilten Kollektivs unerwartet Seiten anlegen. Der Fix liegt laut Hersteller in Collectives 4.4.0. Diese Meldung ist als niedrig eingestuft, sollte aber nicht ignoriert werden, wenn du öffentliche Kollektive einsetzt.
Files Confidential ist eine weitere, nicht standardmäßig in jeder Installation vorhandene Erweiterung. Dort konnte die Kennzeichnung vertraulicher Inhalte bei bestimmten DOCX- oder ODT-Dateien mit `#` im Dateinamen umgangen werden. Die korrigierten App-Versionen lauten 3.3.1, 4.1.1 und 5.1.0. Der Hersteller beschreibt auch eine vorübergehende Konfigurationsmaßnahme, die allerdings die Umbenennung betroffener Dateien erfordert. Wer die App gar nicht installiert hat, ist von genau dieser App-Lücke nicht betroffen.
Nextcloud AIO: So prüfst du Server und Apps richtig
Bei Nextcloud All-in-One (AIO) laufen die Komponenten in Containern. Das ist für Updates praktisch, bedeutet aber auch: Ein Update von PHP oder anderen Paketen auf dem Proxmox-Host ersetzt kein Update des Nextcloud-Anwendungscontainers. Umgekehrt sagt ein aktueller Nextcloud-Server noch nicht, ob sämtliche zusätzlichen Apps aktuell sind.
Öffne zunächst die Nextcloud-Administrationsübersicht und prüfe die angezeigte Serverversion. Für eine ergänzende, rein lesende Terminalkontrolle kannst du im passenden Nextcloud-AIO-Anwendungscontainer den `occ`-Status abfragen. Prüfe den Containernamen vorher; bei Standard-AIO heißt er häufig `nextcloud-aio-nextcloud`.
Diese Befehle sind Prüfschritte, keine Updateanleitung. Für das eigentliche AIO-Update verwende den vorgesehenen Weg über die AIO-Verwaltung, prüfe vorher ein vollständiges Backup und kontrolliere anschließend Containerstatus, Anmeldung, Datei-Uploads und – falls genutzt – Dokumentbearbeitung. Ein manuelles Ersetzen einzelner Dateien im laufenden AIO-Container wäre der falsche Ansatz.
Bei einer klassischen Nextcloud-Installation ohne AIO lässt sich der Status ebenfalls mit `occ` prüfen, allerdings im Installationsverzeichnis und unter dem passenden Webserver-Benutzer. Die Pfade sind je nach Distribution und Hosting unterschiedlich. Verwende deshalb keine fremden Pfade ungeprüft auf deinem System.
Was tun, wenn du noch nicht aktualisieren kannst?
Ist ein betroffener Server öffentlich erreichbar und lässt sich nicht zeitnah patchen, kann das vorübergehende Deaktivieren des Empfangs föderierter Freigaben die Angriffsfläche der DoS-Lücke verringern. Das nennt Nextcloud ausdrücklich als Workaround. Es ist jedoch keine allgemeine Lösung für die anderen fünf Meldungen und kann gewünschte Freigabefunktionen beeinträchtigen.
Für die übrigen Probleme ist entscheidend, ob die jeweilige Funktion oder App überhaupt eingesetzt wird. Wer Collectives oder Files Confidential nicht installiert hat, braucht dafür keine hektischen App-Änderungen. Bei einer tatsächlich betroffenen Erweiterung ist das Update auf den korrigierten Zweig der richtige Weg. Vor Änderungen an Freigaben oder Konten sollten Administratoren dokumentieren, welche Funktionen produktiv genutzt werden.
Wenn du Hinweise auf einen Einbruch findest, behandle die Situation nicht wie ein gewöhnliches Routineupdate. Sichere zuerst Protokolle und Beweisdaten, begrenze den Zugriff kontrolliert und prüfe die Integrität des Systems. Ein Patch schließt die Lücke, entfernt aber keine eventuell bereits vorhandenen Veränderungen durch Angreifer.
Ist die eigene Nextcloud jetzt unsicher? Meine Einordnung
Die sechs Meldungen sind ernst zu nehmen, besonders die ohne Anmeldung erreichbare DoS-Schwachstelle. Sie rechtfertigen aber keine pauschale Panik. Die entscheidenden Fragen sind, welcher Nextcloud-Zweig läuft, ob die genannten Apps installiert sind und ob die Instanz von außen erreichbar ist. Ein bereits aktualisierter Server kann die drei Serverprobleme längst behoben haben, obwohl die dazugehörigen Advisories erst am 27. Oktober öffentlich wurden.
Für Selbsthoster ist die Meldung vor allem eine Erinnerung an eine oft unterschätzte Routine: Server und Apps getrennt inventarisieren und aktualisieren. Dazu gehört auch, unnötige Erweiterungen zu entfernen, Backups tatsächlich zu testen und die Admin-Warnungen nach jedem Update zu prüfen. Wer seinen Homeserver strukturiert betreibt, muss nicht jeder Schlagzeile hinterherlaufen – sollte Sicherheitsmeldungen aber zügig und sachlich einordnen.
Eine weitere wichtige Abgrenzung: Die PHP-Sicherheitslücken aus Oktober 2026 sind ein eigenes Thema. Ein aktualisierter Nextcloud-Server beweist nicht automatisch, dass die PHP-Laufzeit korrigiert ist, und umgekehrt. Gerade bei selbst gehosteten Systemen lohnt es sich, jede Ebene einzeln zu prüfen.
Quellen und Stand der Informationen
Diese Einordnung beruht auf den am 27. Oktober 2026 veröffentlichten Herstellerhinweisen und dem CERT-FR-Bulletin. Die aufgeführten Schwachstellen, Auswirkungen und Fix-Versionen sind bestätigte Angaben aus den Advisories. Aussagen zur Wahrscheinlichkeit einer konkreten Kompromittierung oder zu künftigen Rankings des Artikels sind dagegen Einschätzungen; eine aktive Ausnutzung dieser sechs Lücken wird hier nicht als Tatsache behauptet.
Neugierig auf mehr?
Wenn dir dieser Beitrag gefallen hat, dann schau gerne öfter auf luftpoet.de vorbei. Hier findest du regelmäßig neue Artikel, persönliche Erfahrungsberichte und spannende Einblicke rund um Technik, KI, Gaming und den digitalen Lifestyle. Egal ob Linux, Server, Smart Home, Pi Network oder coole Gadgets – im Blogbereich warten viele weitere Beiträge darauf, entdeckt zu werden. Vielleicht interessieren dich auch meine aktuellen Projekte, Tipps und Empfehlungen auf der Startseite. 👉 Viel Spaß beim Stöbern – und bis zum nächsten Beitrag auf Luftpoet!
Kommentare