Накратко: Уязвимостта в PHP при Nextcloud, PHP2Shell, не е в Nextcloud, а в PHP на сървъра. Тъй като Nextcloud често е централното файлово хранилище на една фирма, последиците от атака са особено големи. Пачнете PHP за уеб и cron, рестартирайте всички процеси и после проверете целостта, config.php и директорията data.
Защо Nextcloud е особено критичен след PHP2Shell
Nextcloud служи на много фирми, кантори, практики и администрации като собствен облак: договори, документи на персонала, оферти, файлове по проекти, календари и контакти. Често е достъпен от интернет, за да могат служителите да работят в движение. PHP уязвимостите CVE-2026-109618 и CVE-2026-109619 позволяват според екипа на PHP изпълнение на злонамерен код от разстояние без вход в системата.
Който изпълнява код на сървъра на Nextcloud, може при някои обстоятелства да прочете всички съхранени там файлове. Шифроването от страна на сървъра помага тук само ограничено, защото ключовете са на същата система. Задайте си затова рано въпроса какви лични данни може да са засегнати; общи сведения предлага Задължение за уведомяване по ОРЗД: 72 часа.
Уязвимост в PHP при Nextcloud: проверка на уеб, cron и контейнери
Nextcloud ползва PHP по два пътя. Извикванията на страниците и синхронизацията вървят през PHP-FPM или mod_php. Фоновите задачи вървят идеално чрез системен cron с PHP за командния ред, както и административната команда occ. И двата пътя трябва да са пачнати.
Версията на PHP администраторите виждат в настройките за администриране чрез приложението за мониторинг, което се доставя с продукта (serverinfo). Поправените версии на оригиналния проект са 8.5.12, 8.4.27, 8.3.36 и 8.2.35; backport-овете на дистрибуциите често носят по-стари номера. Кои версии на PHP поддържа Вашата версия на Nextcloud, проверете според системните изисквания в документацията на nextcloud.com.
Много инсталации на Nextcloud работят в контейнери. Там не помага актуализация на пакети на хоста, а само нов образ с пачнат PHP и рестартиране на контейнерите. Подробности има на страницата Пачване на PHP в Docker контейнери.
Директории и файлове в Nextcloud
| Място | Съдържание | Какво да проверите |
|---|---|---|
config/config.php |
достъп до базата данни, secret, passwordsalt, trusted_domains |
вмъкнат код, при подозрение оценете стойностите |
data/ |
файлове на потребителите, nextcloud.log, данни на приложения |
идеално извън коренната директория |
apps/ |
приложения, доставени с продукта | проверка на целостта |
custom_apps/ (според инсталацията) |
приложения от App Store | непознати или осиротели приложения |
themes/ |
собствен дизайн | чужд JavaScript |
Безопасни проверки с occ, изпълнявани като потребител на уеб сървъра:
# Показване на състоянието и версията
sudo -u www-data php occ status
# Проверка на файловете на ядрото спрямо подписаните оригинали
sudo -u www-data php occ integrity:check-core
# Показване на инсталираните и активните приложения
sudo -u www-data php occ app:list
# Списък на потребителските акаунти
sudo -u www-data php occ user:list
Името на потребителя на уеб сървъра се различава според дистрибуцията. Ако проверката на целостта съобщи променени или допълнителни файлове, не ги заменяйте веднага, а първо запазете състоянието. Само така по-късно може да се проследи какво е променено и от кога.
Настройките за администриране показват под „Преглед“ предупреждения за сигурност и за настройка. Приемете ги на сериозно; те често сочат към публично достъпна директория data или липсващи хедъри за сигурност.
Приложения, админ акаунти и споделяния
Приложенията от Nextcloud App Store разширяват платформата с офис, формуляри, Talk или интеграции. Всяко приложение е допълнителен PHP код със собствена поддръжка. Премахнете приложенията, които никой не ползва, и проверете дали всички приложения съответстват на инсталираната версия на Nextcloud.
Проверете групата „admin“ за непознати членове, активирайте двуфакторното удостоверяване за всички акаунти с повишени права и контролирайте паролите на приложения и публичните връзки за споделяне. Чужда публична връзка към чувствителна папка е изтичане на данни, което никое сканиране на файлове не съобщава.
Какво може актуализацията на Nextcloud и какво не
Актуализацията на Nextcloud заменя ядрото и доставените приложения и затваря известни грешки в тях. Тя не пачва PHP, не рестартира нито PHP-FPM, нито cron процеси и не премахва файлове в директорията data, чужди акаунти и споделяния. Тя не доказва и че между 17 и 21.10.2026 г. нищо не е изтекло. Запазете логовете на уеб сървъра и на Nextcloud от 20.10.2026 г. нататък.
При подозрение трябва освен това да обезсилите сесиите на настолните и мобилните клиенти, както и паролите на приложения, за да трябва всички устройства да влязат наново. Проверете и свързаните външни хранилища като мрежови дискове или обектно хранилище. Техните данни за достъп са записани в Nextcloud и може да са били прочетени при атака. Подновете тези достъпи съгласувано с отговорните лица.
Как помага PHP SOS конкретно?
- Проверяваме уеб, cron и контейнерния PHP на Вашия Nextcloud и доказваме пача и рестартирането.
- Запазваме логове и извършваме проверка на целостта, както и контрол на приложенията, акаунтите и споделянията.
- Оценяваме с Вас дали Nextcloud трябва да остане публично достъпен, или да бъде зад VPN.
- В рамките на заздравяването на сървъра поставяме директорията
dataизвън коренната директория и настройваме правилно правата и настройките на PHP.
Често задавани въпроси
Засегнат ли е Nextcloud от PHP2Shell?
Nextcloud работи на PHP. Ако PHP на сървъра не е пачнат, според екипа на PHP нападател може да изпълнява код без вход в системата и така да получи достъп до съхранените файлове. Актуализацията на Nextcloud не затваря уязвимостта в PHP.
Защитава ли шифроването от страна на сървъра в Nextcloud от PHP2Shell?
Само в ограничена степен. При шифроването от страна на сървъра ключовете са на същия сървър. Който може да изпълнява код там, може при някои обстоятелства да получи достъп и до декриптираното съдържание.
Как проверявам дали файловете на Nextcloud са променени?
С командата occ integrity:check-core Nextcloud сравнява файловете на ядрото с подписаните оригинали. Нередните резултати трябва да се оценят от специалист, преди файловете да бъдат заменяни.
Трябва ли Nextcloud да е достъпен от интернет?
Зависи от употребата. Ако Nextcloud е нужен само вътрешно, достъп изключително през VPN намалява значително повърхността за атака. За външни споделяния тогава е нужно съзнателно решение.