owncloud.online 11.0.24

owncloud.online 11.0.24 – Wartungsrelease mit Sicherheitswarnung zu PHP, weniger 503 unter Last und einem Protokoll-Betrachter in den Einstellungen. Update von 11.0.23 ohne besondere Schritte (occ upgrade wie gewohnt).

Sicherheit

• Die Setup-Warnungen melden PHP-Versionen ohne die Korrekturen für CVE-2026-109618 und CVE-2026-109619 (Codeausführung ohne Anmeldung im PHP-Interpreter, veröffentlicht am 21.10.2026). Behoben in PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 und 8.6.0RC4. Bei Distributions-Builds ist es nur eine Warnung; ist die Korrektur dort eingespielt, blendet 'php_security_check' => false sie aus.
• Der Upload-Fortschritt von PHP (session.upload_progress) ist in .user.ini (PHP-FPM) und .htaccess (Apache mit mod_php, jetzt auch für PHP 8) abgeschaltet. Serverweit und sofort wirkt session.upload_progress.enabled = Off in der php.ini oder im FPM-Pool.
• Scheitert ein Sitzungsstart, steht der Grund im Protokoll – ohne Sitzungskennung und ohne Speicherpfad (Redis-Zugangsdaten).

Stabilität unter Last

• Kein „503 Internal Server Error“ mehr, wenn bei Sitzungen in Redis die Sitzungssperre belegt ist (parallele PROPFIND-Anfragen des Desktop-Clients nach einem Sammel-Upload). Ein angemeldeter Browser bleibt in dieser Lage angemeldet.
• Ein gestörter Redis als Cache (memcache.local/memcache.distributed) bricht keine Anfrage mehr ab; Redis für Dateisperren muss weiterhin erreichbar sein.
• Token-Anfragen von OAuth2-Clients (z. B. Desktop-Client 6.0.3 mit Sitzungs-Cookie) zählen nicht mehr als fehlgeschlagene Anmeldung und bremsen keine echten Anmeldungen mehr aus.
• WebDAV-Fehler mit 503 zeigen im Protokoll ihre eigentliche Ursache; erwartbare Client-Fehler (z. B. 405 beim Anlegen eines vorhandenen Ordners) stehen nicht mehr als FATAL im Protokoll.

Neu

• Einstellungen → Allgemein → Protokoll: die neuesten Einträge direkt lesen, filtern (Stufe, App) und durchsuchen, Details mit Trace; dieselben Daten für Admins als JSON unter /index.php/settings/admin/log/entries. Voraussetzung: log_type owncloud.

Weitere Fehlerbehebungen

• „Erneut anfordern“ verschickt die Mail zum Zurücksetzen des Kennworts nach einem gescheiterten Versand wieder (bekannte Einschränkung aus 11.0.23 behoben).
• Vorschauen brechen bei Versionsvorschauen und kaputten Bildern nicht mehr mit HTTP 500 ab.
• Die Update-Seite sagt den Hinweis nach einem Fehler Screenreadern an.
• es_AR und mk: owncloud.online statt „OwnCloud“ im Hinweis zum Teilen.

Alle Details: CHANGELOG.md im Repository.

---

owncloud.online 11.0.24 is a maintenance release with a security warning about PHP, fewer 503 errors under load and a log viewer in the settings. Updating from 11.0.23 needs no special steps (occ upgrade as usual).

Security

• The setup warnings now flag PHP versions without the fixes for CVE-2026-109618 and CVE-2026-109619 (unauthenticated code execution in the PHP interpreter, published on October 21, 2026). Fixed in PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 and 8.6.0RC4. For PHP packages from a Linux distribution this is only a warning: once the distribution has shipped the fix, 'php_security_check' => false hides it.
• PHP's upload progress tracking (session.upload_progress) is turned off in .user.ini (PHP-FPM) and .htaccess (Apache with mod_php, now also for PHP 8). To turn it off server-wide and right away, set session.upload_progress.enabled = Off in php.ini or in the FPM pool.
• If a session fails to start, the log states the reason, without the session ID and without the storage path (Redis credentials).

Stability under load

• No more "503 Internal Server Error" when sessions are stored in Redis and the session lock is taken (parallel PROPFIND requests from the desktop client after a bulk upload). A logged-in browser stays logged in when this happens.
• A failing Redis used as a cache (memcache.local/memcache.distributed) no longer aborts requests. Redis for file locking still has to be reachable.
• Token requests from OAuth2 clients (for example desktop client 6.0.3 with a session cookie) no longer count as failed logins and no longer slow down real logins.
• WebDAV errors with status 503 now show their actual cause in the log. Expected client errors (for example 405 when creating a folder that already exists) are no longer logged as FATAL.

New

• Settings → General → Log: read the latest entries directly, filter them (level, app) and search them, with details including the trace. Admins get the same data as JSON at /index.php/settings/admin/log/entries. Requires log_type owncloud.

Other fixes

• After a failed delivery, "Request again" now resends the password reset email (fixes the known limitation from 11.0.23).
• Previews no longer fail with HTTP 500 for version previews and broken images.
• After an error, the update page now announces the message to screen readers.
• es_AR and mk: the hint about sharing now uses the product name owncloud.online.

Full details: CHANGELOG.md in the repository.

Full Changelog: v11.0.23...v11.0.24