Nextcloud: Mehrere Schwachstellen
WID-SEC-2026-1471 · erstmals 12.05.2026 · aktualisiert 02.06.2026 · CVSS 8,1
Worum es geht
Nextcloud ist eine "on-premise" Plattform für Dateifreigabe und Zusammenarbeit. Ein Angreifer kann mehrere Schwachstellen im Nextcloud Server und verschiedenen Apps ausnutzen, um Sicherheitsvorkehrungen zu umgehen, um Informationen offenzulegen, und um Dateien zu manipulieren.
Unter welchen Bedingungen?
Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- Sicherheitsvorkehrungen zu umgehen
- Informationen offenzulegen
- Dateien zu manipulieren
Bin ich betroffen?
Betroffen sind laut BSI:
- Nextcloud Nextcloud Android Files <33.1.0
- Nextcloud Nextcloud Server <32.0.9
- Nextcloud Nextcloud Server <33.0.3
- Nextcloud Nextcloud User OIDC <8.4.0
- Nextcloud Nextcloud Collectives <4.3.0
- Nextcloud Nextcloud End-to-End Encryption <1.15.4
- Nextcloud Nextcloud End-to-End Encryption <1.16.3
- Nextcloud Nextcloud End-to-End Encryption <1.17.1
- Nextcloud Nextcloud End-to-End Encryption <1.18.1
- Nextcloud Nextcloud End-to-End Encryption <2.0.0-rc.7
- Nextcloud Nextcloud Calendar <6.2.3
- Nextcloud Nextcloud Calendar <5.5.17
und 10 weitere
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Nextcloud Nextcloud Android Files 33.1.0
- Nextcloud Nextcloud Server 32.0.9
- Nextcloud Nextcloud Server 33.0.3
- Nextcloud Nextcloud User OIDC 8.4.0
- Nextcloud Nextcloud Collectives 4.3.0
- Nextcloud Nextcloud End-to-End Encryption 1.15.4
- Nextcloud Nextcloud End-to-End Encryption 1.16.3
- Nextcloud Nextcloud End-to-End Encryption 1.17.1
- Nextcloud Nextcloud End-to-End Encryption 1.18.1
- Nextcloud Nextcloud End-to-End Encryption 2.0.0-rc.7
- Nextcloud Nextcloud Calendar 6.2.3
- Nextcloud Nextcloud Calendar 5.5.17
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- GitHub Security Advisory GHSA-2w7v-5299-3hw5 vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-35fx-69q6-xpjr vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-45pj-p7x7-4mhc vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-4chh-6mhf-p4jj vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-79xf-ffj8-96fm vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-8mpv-ggq8-hf3w vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-hrrv-mp25-26vv vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-p3qw-7gwx-wg24 vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-qqgv-fqwp-mjpp vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-r3xh-x86g-hw4m vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-r697-74m9-gvf2 vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-xpgv-grf9-gm7x vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-8wjr-5cg8-4w73 vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-h7gm-vgxr-9hcw vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-j33j-qph5-4wch vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-r4gh-f8x6-m55f vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-v8q8-w6c3-3gv9 vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-wx2x-822r-rvmf vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-x75r-65hm-cw35 vom 2026-05-11 github.com
CVE: CVE-2026-45153, CVE-2026-45154, CVE-2026-45155, CVE-2026-45156, CVE-2026-45157, CVE-2026-45159, CVE-2026-45264, CVE-2026-45266, CVE-2026-45267, CVE-2026-45275, CVE-2026-45277, CVE-2026-45278, CVE-2026-45279, CVE-2026-45281, CVE-2026-45282, CVE-2026-45283, CVE-2026-45284, CVE-2026-45285, CVE-2026-45286
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.