返回技術公告
資安通知嚴重程度高CVSS7.5

Nextcloud Server 多項高風險漏洞，請更新至最新維護版

Nextcloud

Nextcloud 於 2026 年 8 月至 10 月公開三項 Nextcloud Server 高風險漏洞。CVE-2026-77167：未經驗證的攻擊者可透過聯邦分享（federated share）端點造成持續性的服務中斷。CVE-2026-104190：啟用非預設的 HEIC、PDF、TIFF 等預覽格式且使用 PHP imagick 時，預覽惡意檔案可觸發 ImageMagick 漏洞，導致遠端程式碼執行與寫入任意檔案，攻擊者需有帳號或可寫入的分享連結。CVE-2026-61527：位於外部儲存或團隊資料夾（Team Folders）上的唯讀分享連結，實際上可被寫入。

影響版本

  • CVE-2026-77167：Nextcloud Server 22 至 34 各分支，低於該分支修正版者
  • CVE-2026-104190：Nextcloud Server32.0.0–32.0.12、33.0.0–33.0.6、34.0.0–34.0.1需啟用非預設預覽格式並使用 PHP imagick
  • CVE-2026-104190 底層元件：ImageMagick 6.9.13-48、7.1.2-24 之前的版本
  • CVE-2026-61527：Nextcloud Server32.0.10–32.0.11、33.0.4–33.0.5、34.0.0

已修正版本

  • Nextcloud Server32.0.13、33.0.7、34.0.2三項皆已修正
  • CVE-2026-77167 舊分支：22.2.11、23.0.13、24.0.13、25.0.14、26.0.14、27.1.12、28.0.15、29.0.17、30.0.18、31.0.15
  • CVE-2026-61527：已於 32.0.12、33.0.6、34.0.1 修正
  • Nextcloud Enterprise 舊分支：另有修正版（如 31.0.14.8、30.0.17.12），依各 GHSA
  • 各分支最新版：33.0.10、34.0.5、35.0.2（2026-10-15 發布）

建議處理方式

  1. 更新至受支援分支的最新維護版（33.0.10、34.0.5 或 35.0.2）；Nextcloud 32 一般維護已於 2026 年 9 月結束，應規劃升級至 33 以上
  2. 封存檔安裝：以內建網頁更新程式或 updater/updater.phar 更新程式檔案，再以網頁升級流程或 occ upgrade 完成資料庫與應用程式升級；Docker、Snap 等依各自的更新程序
  3. 跨主版本升級須先更新至目前分支的最後維護版，再逐一升級，不可跳版
  4. 更新前備份資料庫、config、data 目錄，以及自訂應用程式與佈景主題目錄（內建更新程式不會備份資料庫與資料目錄）
  5. 更新後於「管理設定 → 概覽」確認沒有安全性與設定警告
  6. 若曾有對外的團隊資料夾或外部儲存唯讀分享連結，檢查其中檔案是否遭非預期修改

暫時無法更新時

  • CVE-2026-77167：暫時停用「接收聯邦分享」
  • CVE-2026-104190：在 config/config.php 設定 'enable_previews' => false，或自 enabledPreviewProviders 移除 HEIC、Illustrator、PDF、Photoshop、Postscript、SGI、TGA、TIFF 等提供者，或移除 PHP imagick（任一項即可）
  • CVE-2026-61527：暫時停用連結分享，或移除團隊資料夾 / 外部儲存的分享權限

如何確認是否受影響

  • 以 occ status 或「管理設定 → 概覽」查看 Nextcloud 版本
  • 檢查 config/config.php 是否有設定 enabledPreviewProviders 及其內容

參考來源

Nextcloud Security Advisory GHSA-5572-968j-v7g5：Federated Share DoS（CVE-2026-77167）github.comNextcloud Security Advisory GHSA-7hwf-8pcj-33h4：ImageMagick 預覽（CVE-2026-104190）github.comNextcloud Security Advisory GHSA-99gw-ww6p-f2rr：唯讀分享可寫入（CVE-2026-61527）github.comNVD：CVE-2026-77167nvd.nist.govNextcloud 文件：Update（內建更新程式）docs.nextcloud.comNextcloud 文件：Upgradedocs.nextcloud.comNextcloud 文件：Backupdocs.nextcloud.comNextcloud Server Wiki：Maintenance and Release Schedulegithub.comCISA Known Exploited Vulnerabilities Catalogwww.cisa.gov

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

相關公告