21. Oktober 2026 | IT-Sicherheit, Datenschutz und Nextcloud
Eine eigene Cloud bietet viele Vorteile: Die Daten bleiben unter eigener Kontrolle, Fotogalerien können unabhängig von großen Cloud-Anbietern bereitgestellt werden und die Speicherung lässt sich individuell absichern.
Für meine Fotografie bei Portraits aus Höxter betreibe ich deshalb seit einiger Zeit eine eigene Nextcloud. Über diese stelle ich unter anderem bearbeitete Fotoaufnahmen für Models und Kunden zur Verfügung.
Doch auch ein selbst betriebener Cloudserver muss regelmäßig auf Sicherheitslücken überprüft werden.
Am 21. Oktober 2026 wurden kritische Sicherheitslücken in PHP bekannt. Da auch Nextcloud auf PHP basiert, habe ich unmittelbar die Versionen meiner eigenen Installation überprüft.
Das Ergebnis: Meine Nextcloud verwendet PHP 8.4.26. Für diesen PHP-Versionszweig wurde ein neuer Sicherheitsstand veröffentlicht.
Da für mein Nextcloud-Snap-Paket zum Zeitpunkt der Überprüfung noch kein entsprechendes Update angeboten wurde, habe ich mich für eine konsequente Vorsichtsmaßnahme entschieden:
Ich habe die Portfreigaben meiner Nextcloud in der FRITZ!Box deaktiviert. Meine Cloud bleibt für externe Zugriffe gesperrt, bis ein geeignetes Sicherheitsupdate installiert und überprüft wurde.
Was steckt hinter der aktuellen PHP-Sicherheitslücke?
PHP ist eine weitverbreitete Programmiersprache, die auf zahlreichen Webservern eingesetzt wird. Auch Anwendungen wie WordPress und Nextcloud nutzen PHP.
Im Oktober 2026 wurden zwei kritische PHP-Schwachstellen unter den Kennungen CVE-2026-109618 und CVE-2026-109619 bekannt, die unter der Bezeichnung PHP2Shell diskutiert werden.
Die Sicherheitslücken können unter bestimmten technischen Voraussetzungen eine Ausführung von Schadcode auf einem betroffenen Server ermöglichen.
Besonders problematisch ist dabei, dass ein solcher Angriff je nach Konfiguration möglicherweise ohne vorherige Anmeldung durchgeführt werden kann.
Ein Angreifer könnte bei erfolgreicher Ausnutzung unter anderem versuchen, auf gespeicherte Daten zuzugreifen oder weitere Schadsoftware auszuführen.
Das bedeutet nicht, dass jeder PHP-Webserver automatisch erfolgreich angegriffen werden kann. Ob eine Installation tatsächlich ausnutzbar ist, hängt auch von ihrer Konfiguration und den eingesetzten Komponenten ab.
Dennoch sollten Betreiber öffentlich erreichbarer PHP-Anwendungen solche Sicherheitsmeldungen ernst nehmen.
Welche PHP-Versionen müssen aktualisiert werden?
Für die unterstützten PHP-Versionszweige wurden folgende Sicherheitsversionen veröffentlicht:
| PHP-Versionszweig | Sicherheitsversion |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Ältere Versionen dieser Zweige sollten auf den jeweiligen korrigierten Stand aktualisiert werden, sofern nicht bereits nachweislich entsprechende Sicherheitskorrekturen durch den Paketbetreiber zurückportiert wurden.
Bei nicht mehr unterstützten PHP-Versionen ist ein Wechsel auf einen weiterhin gepflegten Versionszweig besonders wichtig.
Welche Nextcloud-Versionen sind betroffen?
Die Gefährdung lässt sich nicht allein an der Nextcloud-Versionsnummer erkennen.
Nextcloud basiert auf PHP. Deshalb kann grundsätzlich jede Nextcloud-Installation betroffen sein, die eine verwundbare PHP-Laufzeit verwendet und bei der die Voraussetzungen für eine Ausnutzung erfüllt sind.
Das gilt unabhängig davon, ob Nextcloud über einen klassischen Webserver, Docker, ein NAS-Paket oder als Snap installiert wurde.
Auch eine aktuelle Nextcloud-Version bedeutet nicht automatisch, dass die darunterliegende PHP-Laufzeit bereits alle Sicherheitskorrekturen enthält.
Entscheidend ist deshalb die Kombination aus:
- installierter Nextcloud-Version,
- tatsächlich verwendeter PHP-Version,
- eingespielten Sicherheitskorrekturen,
- Konfiguration und Erreichbarkeit des Servers.
Eine pauschale Liste wie „Nextcloud 32, 33 und 34 sind betroffen“ wäre daher irreführend. Auch andere Nextcloud-Versionen können mit einer verwundbaren PHP-Laufzeit betrieben werden.
Meine Nextcloud: Version 34.0.5snap1 mit PHP 8.4.26
Ich betreibe meine eigene Nextcloud auf einem Ubuntu-Server im Heimnetzwerk.
Die Installation erfolgt über das offizielle Nextcloud-Snap-Paket. Dabei wird PHP als Bestandteil des Snap-Pakets bereitgestellt.
Bei meiner Überprüfung am 21. Oktober 2026 ergab sich folgender Stand:
| Komponente | Version |
|---|---|
| Betriebssystem | Ubuntu 24.04 LTS |
| Nextcloud | 34.0.5snap1 |
| Snap-Revision | 54466 |
| PHP | 8.4.26 |
| Neuer PHP-Sicherheitsstand | 8.4.27 |
| Nextcloud-Snap-Update angeboten | Nein |
Die PHP-Version konnte ich direkt innerhalb der Snap-Umgebung überprüfen.
Anschließend habe ich über die Paketverwaltung nach verfügbaren Updates gesucht. Dabei wurden zwar Aktualisierungen für andere Snap-Pakete angezeigt, jedoch kein Update für Nextcloud.
Damit war zum Zeitpunkt meiner Überprüfung noch nicht nachgewiesen, dass die erforderlichen PHP-Sicherheitskorrekturen in meiner Installation enthalten sind.
Da ich nicht ausschließen konnte, dass mein Server von den gemeldeten Schwachstellen betroffen ist, habe ich unmittelbar reagiert.
Meine Sicherheitsmaßnahme: Portfreigaben in der FRITZ!Box deaktiviert
Am 21. Oktober 2026 habe ich die Portfreigaben für meine Nextcloud in der FRITZ!Box deaktiviert.
Damit ist der bisherige direkte Zugriff aus dem Internet auf meine Cloud unterbunden.
Innerhalb meines Heimnetzwerks kann ich die Nextcloud weiterhin verwenden. Die gespeicherten Daten und die bestehenden Freigaben bleiben erhalten.
Die externe Erreichbarkeit wird erst wiederhergestellt, wenn ich ein geeignetes Sicherheitsupdate installiert und die verwendete PHP-Version überprüft habe.
Diese Maßnahme ist bewusst vorsorglich.
Mir liegen keine Hinweise darauf vor, dass meine Nextcloud bereits kompromittiert wurde. Allerdings möchte ich bei einem potenziell kritischen Sicherheitsproblem nicht darauf warten, bis ein Angriff stattfindet.
Für mich ist die vorübergehende Nichterreichbarkeit einer Fotogalerie das deutlich kleinere Problem gegenüber einem möglichen unbefugten Zugriff auf persönliche Fotoaufnahmen.
Warum meine bisherigen Sicherheitsmaßnahmen allein nicht ausreichen
Meine Nextcloud verfügt bereits über verschiedene Schutzmaßnahmen.
Dazu gehören unter anderem:
- Mehrfaktor-Authentifizierung (MFA): Eine zusätzliche Absicherung der Benutzeranmeldung.
- Geo-Blocking: Zugriffsbeschränkungen anhand geografischer Herkunft.
- Lange Freigabelinks: Externe Freigaben verwenden zufällig erzeugte Links mit 24 Zeichen.
- Passwortschutz: Externe Freigaben werden zusätzlich mit 16-stelligen Kennwörtern geschützt.
- Sicherheitsüberwachung: Auffällige und unberechtigte Anmeldeversuche werden protokolliert und regelmäßig ausgewertet.
- Regelmäßige Datensicherungen: Meine Daten werden zusätzlich auf weiteren Speichersystemen gesichert.
Diese Maßnahmen erhöhen die Sicherheit meiner Cloud erheblich.
Bei einer Schwachstelle innerhalb der PHP-Laufzeit können sie jedoch keinen vollständigen Schutz gewährleisten.
Insbesondere eine mögliche Ausnutzung vor der eigentlichen Nextcloud-Anmeldung lässt sich nicht allein durch MFA oder sichere Benutzerpasswörter verhindern.
Deshalb habe ich mich dafür entschieden, den direkten externen Zugang auf Netzwerkebene zu unterbinden.
Was bedeutet die Sperrung für meine Models und Kunden?
Über meine Nextcloud stelle ich regelmäßig bearbeitete Fotoaufnahmen zur Verfügung.
Meine Models erhalten beispielsweise Zugriff auf ihre Bildergalerien, während Kunden ihre fertigen Aufnahmen über geschützte Freigabelinks abrufen können.
Durch die vorübergehende Sperrung sind diese Links von außerhalb meines Heimnetzwerks aktuell nicht erreichbar.
Wichtig: Die Bilder wurden nicht gelöscht und bleiben weiterhin gespeichert.
Es handelt sich ausschließlich um eine vorübergehende Einschränkung der externen Erreichbarkeit.
Sobald ein geeignetes Sicherheitsupdate bereitsteht und meine Installation erfolgreich aktualisiert wurde, werde ich die externe Erreichbarkeit wiederherstellen.
Ich bitte alle betroffenen Models und Kunden um Verständnis.
Was sollten andere Nextcloud-Betreiber jetzt tun?
Wer selbst eine Nextcloud betreibt, sollte die verwendete PHP-Version überprüfen und nicht ausschließlich auf die Nextcloud-Versionsnummer achten.
Besonders bei Snap- und Docker-Installationen ist wichtig, dass PHP häufig innerhalb des jeweiligen Pakets beziehungsweise Containers bereitgestellt wird.
Ein normales Betriebssystem-Update aktualisiert diese PHP-Laufzeit nicht zwangsläufig.
Betreiber sollten deshalb prüfen, ob der Anbieter ihrer Installationsvariante bereits ein korrigiertes Paket veröffentlicht hat.
Falls eine öffentlich erreichbare Installation noch keine nachweislich korrigierte PHP-Version verwendet, kann eine vorübergehende Einschränkung des externen Zugriffs eine sinnvolle Vorsichtsmaßnahme sein.
Dabei müssen sämtliche möglichen Zugangswege berücksichtigt werden, beispielsweise IPv4- und IPv6-Freigaben, Reverse-Proxys oder Tunnelverbindungen.
Wichtig ist außerdem, keine einzelnen PHP-Dateien innerhalb eines Snap-Pakets auf eigene Faust auszutauschen. Sicherheitsupdates sollten über den vorgesehenen Paket- und Updateweg erfolgen.
Wann wird meine Nextcloud wieder erreichbar sein?
Ich werde die Verfügbarkeit eines korrigierten Nextcloud-Snap-Pakets weiterhin überprüfen.
Sobald ein geeignetes Update verfügbar ist, werde ich:
- Das Sicherheitsupdate installieren.
- Die enthaltene PHP-Version und den Patchstand kontrollieren.
- Die Funktion meiner Nextcloud und der Fotogalerien testen.
- Die externen Zugriffe über die FRITZ!Box wieder freigeben.
Bis dahin bleiben die entsprechenden Portfreigaben deaktiviert.
Mein Fazit: Datenschutz ist wichtiger als ständige Erreichbarkeit
Die aktuelle Sicherheitsmeldung zeigt, wie wichtig es ist, nicht nur die Anwendungen selbst, sondern auch deren technische Grundlagen im Blick zu behalten.
Meine Nextcloud ist ein wichtiger Bestandteil meines fotografischen Workflows. Gleichzeitig befinden sich dort persönliche Aufnahmen, die mir meine Models und Kunden anvertraut haben.
Deshalb hat der Schutz dieser Daten für mich oberste Priorität.
Lieber ist meine Cloud einige Tage nicht aus dem Internet erreichbar, als dass ich ein vermeidbares Sicherheitsrisiko eingehe.
Die Entscheidung, die Portfreigaben meiner FRITZ!Box vorsorglich zu deaktivieren, war für mich deshalb konsequent.
Sobald die Sicherheitskorrekturen verfügbar und erfolgreich installiert sind, werde ich den regulären Betrieb wieder aufnehmen.
Portraits aus Höxter – Fotografie, Technik und Verantwortung für persönliche Daten.
Weiterführende Informationen
- Offizielle PHP-Webseite: https://www.php.net/
- PHP-Sicherheitsupdates: https://www.php.net/downloads.php
- Nextcloud-Snap-Projekt: https://github.com/nextcloud-snap/nextcloud-snap
- Nextcloud-Snap-Änderungsprotokoll: https://github.com/nextcloud-snap/nextcloud-snap/blob/master/CHANGELOG
No responses yet