Nextcloud Enterprise Server：アクセス制御を回復する

公開 · 更新 · デジタル戦略 · 9 分で読めます · 執筆 Cyber Intelligence Embassy

要点

Nextcloud Enterprise Server：セキュリティ制御の回避。2026-05-12の事例として、CERTFR-2026-AVI-0569に基づく19件のバージョン記載と10件のCVE、対象バージョン、ウェブアプリケーションに適した検証を整理します。

AI生成のイメージ：控えめな金色の照明に包まれた暗いサイバーセキュリティ技術室 イラスト · 架空の場面
この記事の内容

2026-05-12を対象とする振り返り記事です。作成日は2026年10月27日です。対象日と、以下に示す出典の公開日・改訂日を区別しています。

この勧告が運用環境に及ぼす意味

出発点は2026-05-12公開のCERTFR-2026-AVI-0569です。対象にはNextcloud Enterprise Server, Collectives app, User OIDC, Calendar, End-to-End Encryption, Nextcloud Server, Android Filesが含まれ、報告された影響はデータ改ざん, ベンダーへの確認が必要な影響, セキュリティ制御の回避, 機密性の侵害です。これは勧告全体の範囲に関する記載であり、全ての影響を各製品や各CVEに割り当てるものではありません。

この事例には19件のバージョン記載と10件のCVEがあります。対応はコンポーネントごとに管理します。一括更新の成功だけでは、Nextcloud Enterprise ServerとAndroid Filesそれぞれへの修正適用を証明できません。

確認すべき製品とバージョン

出典番号
CERTFR-2026-AVI-0569
出典の初回公開日
2026-05-12
対象日までに公開された最終改訂
2026-05-12
記載されたコンポーネント
Nextcloud Enterprise Server, Collectives app, User OIDC, Calendar, End-to-End Encryption, Nextcloud Server, Android Files
CVE識別子
CVE-2026-45282, CVE-2026-45157, CVE-2026-45154, CVE-2026-45284, CVE-2026-45286, CVE-2026-45159, CVE-2026-45285, CVE-2026-45155, CVE-2026-45156, CVE-2026-45153
コンポーネント公開条件
Nextcloud Enterprise Server31.0.x : < 31.0.14.5
Collectives app< 4.3.0
Nextcloud Enterprise Server27.0.x : < 27.1.11.5
End-to-End Encryption1.17.x : < 1.17.1
Nextcloud Server33.0.x : < 33.0.3
End-to-End Encryption1.15.x : < 1.15.4
Android Files33.x : < 33.1.0
Nextcloud Enterprise Server30.0.x : < 30.0.17.9
Nextcloud Server32.0.x : < 32.0.9
End-to-End Encryption1.16.x : < 1.16.3
Nextcloud Enterprise Server29.0.x : < 29.0.16.16
Nextcloud Enterprise Server26.0.x : < 26.0.13.26
Nextcloud Enterprise Server28.0.x : < 28.0.14.17
Calendar6.2.x : < 6.2.3
Nextcloud Enterprise Server33.0.x : < 33.0.3
Nextcloud Enterprise Server32.0.x : < 32.0.9
End-to-End Encryption1.18.x : < 1.18.1

Nextcloud Enterprise Serverの公開条件は「31.0.x : < 31.0.14.5」です。実際に読み込まれている版を、その版が属する系統内で条件と比較します。別のNextcloud Enterprise Serverエディションを修正しても、この事例の対応完了にはなりません。

仕組みと前提条件

制御回避は信頼境界に関わります。サーバー側の認可と別経路を確認してください。画面を隠すだけではアクセスを制限できません。

CERTFR-2026-AVI-0569について、この対象日までに改訂された適切な一次CVE記録は確認できていません。認証、利用者の操作、実際の悪用はここでは未確認です。Nextcloud Enterprise Serverという名称やリスク分類だけから推測しません。

適切な対応を選ぶ

  1. Nextcloud Enterprise Serverのインスタンス、稼働版、責任者を特定し、条件31.0.x : < 31.0.14.5をCERTFR-2026-AVI-0569と併せて記録します。
  2. 導入系統をNextcloud Enterprise Serverのベンダー文書と照合し、その系統向けパッケージと依存サービスの試験を準備します。変更前の状態を保存してください。
  3. Nextcloud Enterprise Serverの変更後、読み込まれた版を再取得し、以下の業務フローを確認します。例外には責任者、露出低減策、期限が必要です。

実際の業務で修正を検証する

Nextcloud Enterprise Server向けに調整する検証シナリオ：Nextcloud Enterprise Serverのテストコピーで、同じ業務を一般アカウントと管理アカウントで比較します。合成オブジェクトの作成、閲覧、変更と入力内容の描画を、実データを使わずに確認します。 これは防御的な確認方法の提案であり、第三者のシステムで試験済みという意味ではありません。

CERTFR-2026-AVI-0569に関する限界：本分析はベンダーの前提条件や自環境のログ調査を置き換えません。記載する版は文書化されたものに限り、攻撃日や被害者を創作しません。

この事例に固有の質問

Nextcloud Enterprise Serverで確認する条件は何ですか？

CERTFR-2026-AVI-0569の記載はNextcloud Enterprise Server — 31.0.x : < 31.0.14.5です。エディションと稼働版を確認し、未記載の系統に境界を拡張しないでください。

Nextcloud Enterprise ServerとAndroid Filesを同じ修正で扱えない理由は？

CERTFR-2026-AVI-0569は19件の記載の中でこれらを区別しています。系統ごとの更新文書と機能試験が必要です。

Nextcloud Enterprise Serverの露出評価に不足する情報は？

Nextcloud Enterprise Serverの稼働版、到達経路、プロセス権限を特定する必要があります。CERTFR-2026-AVI-0569の出典だけでは全前提条件や実際の悪用を確認できません。

出典と関連資料

実践ガイド : サイバーリスク評価：優先順位付けされたチェックリスト

この事例の対応判断を深める

元の勧告にある全項目

記事の表は抜粋の場合があります。以下は指定版にある影響対象システムの全項目とCVEです。自社資産の一覧ではなく、各CVEがすべての製品に該当するという意味でもありません。

公式情報源 · CERTFR-2026-AVI-0569
勧告の改訂日 : · 確認日 :

影響対象システム · 19

バージョン条件の曖昧な翻訳を避けるため、フランス語原文を保持しています。

  1. Nextcloud Enterprise Server versions 31.0.x antérieures à 31.0.14.5
  2. Collectives app versions antérieures à 4.3.0
  3. User OIDC versions postérieures ou égales à 0.3.0 et antérieures à 8.4.0
  4. Nextcloud Enterprise Server versions 27.0.x antérieures à 27.1.11.5
  5. Calendar versions postérieures ou égales à 5.5.13 et antérieures à 5.5.17
  6. End-to-End Encryption versions 1.17.x antérieures à 1.17.1
  7. Nextcloud Server versions 33.0.x antérieures à 33.0.3
  8. End-to-End Encryption versions 1.15.x antérieures à 1.15.4
  9. Android Files versions 33.x antérieures à 33.1.0
  10. Nextcloud Enterprise Server versions 30.0.x antérieures à 30.0.17.9
  11. Nextcloud Server versions 32.0.x antérieures à 32.0.9
  12. End-to-End Encryption versions 1.16.x antérieures à 1.16.3
  13. Nextcloud Enterprise Server versions 29.0.x antérieures à 29.0.16.16
  14. Nextcloud Enterprise Server versions 26.0.x antérieures à 26.0.13.26
  15. Nextcloud Enterprise Server versions 28.0.x antérieures à 28.0.14.17
  16. Calendar versions 6.2.x antérieures à 6.2.3
  17. Nextcloud Enterprise Server versions 33.0.x antérieures à 33.0.3
  18. Nextcloud Enterprise Server versions 32.0.x antérieures à 32.0.9
  19. End-to-End Encryption versions 1.18.x antérieures à 1.18.1
CVE識別子 · 10