Nextcloud: Mehrere Schwachstellen
WID-SEC-2026-3840 · erstmals 09.10.2026 · aktualisiert 09.10.2026 · CVSS 6,5
Worum es geht
Nextcloud ist eine "on-premise" Plattform für Dateifreigabe und Zusammenarbeit. Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen im Nextcloud Server und verschiedenen Apps ausnutzen, um Informationen offenzulegen, um Sicherheitsmechanismen zu umgehen und um einen Denial of Service herbeizuführen.
Unter welchen Bedingungen?
Über das Netz, aber nur mit gültigem Zugang (Anmeldung nötig), etwa mit gestohlenen Zugangsdaten oder als Innentäter.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- Informationen offenzulegen
- Sicherheitsmechanismen zu umgehen
- einen Denial of Service herbeizuführen
Bin ich betroffen?
Betroffen sind laut BSI:
- Nextcloud Nextcloud Server <32.0.12
- Nextcloud Nextcloud Server <33.0.6
- Nextcloud Nextcloud Server <34.0.1
- Nextcloud Nextcloud Server <32.0.6
- Nextcloud Nextcloud Collectives <4.4.1
- Nextcloud Nextcloud Team Folders <13.1.8
- Nextcloud Nextcloud Team Folders <14.0.12
- Nextcloud Nextcloud Team Folders <15.3.13
- Nextcloud Nextcloud Team Folders <16.0.16
- Nextcloud Nextcloud Team Folders <17.0.16
- Nextcloud Nextcloud Team Folders <18.1.14
- Nextcloud Nextcloud Team Folders <19.1.19
und 3 weitere
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Nextcloud Nextcloud Server 32.0.12
- Nextcloud Nextcloud Server 33.0.6
- Nextcloud Nextcloud Server 34.0.1
- Nextcloud Nextcloud Server 32.0.6
- Nextcloud Nextcloud Collectives 4.4.1
- Nextcloud Nextcloud Team Folders 13.1.8
- Nextcloud Nextcloud Team Folders 14.0.12
- Nextcloud Nextcloud Team Folders 15.3.13
- Nextcloud Nextcloud Team Folders 16.0.16
- Nextcloud Nextcloud Team Folders 17.0.16
- Nextcloud Nextcloud Team Folders 18.1.14
- Nextcloud Nextcloud Team Folders 19.1.19
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- GitHub Security Advisory GHSA-22w9-gpgv-pcgc vom 2026-10-08 github.com
- GitHub Security Advisory GHSA-4vpp-fp9q-9g23 vom 2026-10-08 github.com
- GitHub Security Advisory GHSA-5gv7-hw69-w6px vom 2026-10-08 github.com
- GitHub Security Advisory GHSA-9mjh-89xm-hcqw vom 2026-10-08 github.com
- GitHub Security Advisory GHSA-f99w-3pm7-v4cv vom 2026-10-08 github.com
CVE: CVE-2026-68493, CVE-2026-77165, CVE-2026-77166, CVE-2026-77169, CVE-2026-82985
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.