Stručně: Zranitelnost PHP2Shell v Nextcloudu není v Nextcloudu, ale v PHP serveru. Protože je Nextcloud často ústředním úložištěm souborů firmy, jsou následky útoku obzvlášť velké. Záplatujte PHP pro web i cron, restartujte všechny procesy a poté zkontrolujte integritu, config.php a adresář data.
Proč je Nextcloud po PHP2Shell obzvlášť kritický
Nextcloud slouží mnoha firmám, advokátním kancelářím, ordinacím a správním orgánům jako vlastní cloud: smlouvy, osobní podklady, nabídky, projektové soubory, kalendáře a kontakty. Často je dostupný z internetu, aby mohli zaměstnanci pracovat na cestách. Zranitelnosti PHP CVE-2026-109618 a CVE-2026-109619 umožňují podle týmu PHP spuštění škodlivého kódu na dálku bez přihlášení.
Kdo na serveru Nextcloudu spustí kód, může za určitých okolností číst všechny tam uložené soubory. Šifrování na straně serveru k tomu pomáhá jen omezeně, protože klíče leží na stejném systému. Brzy si proto položte otázku, jaké osobní údaje by mohly být zasaženy; obecné rady nabízí oznamovací povinnost podle GDPR: 72 hodin.
Zranitelnost PHP v Nextcloudu: kontrola webu, cronu a kontejnerů
Nextcloud používá PHP dvěma cestami. Zobrazení stránek a synchronizace běží přes PHP-FPM nebo mod_php. Úlohy na pozadí běží ideálně přes systémový cron s PHP pro příkazovou řádku, stejně jako správní příkaz occ. Obě cesty musí být záplatovány.
Verzi PHP vidí administrátoři v nastavení správy přes dodávanou monitorovací aplikaci (serverinfo). Opravené verze upstreamu jsou 8.5.12, 8.4.27, 8.3.36 a 8.2.35; backporty distribucí často nesou starší čísla. Které verze PHP vaše verze Nextcloudu podporuje, ověříte podle systémových požadavků v dokumentaci na nextcloud.com.
Mnoho instalací Nextcloudu běží v kontejnerech. Tam nepomůže aktualizace balíčků na hostiteli, ale jen nový image se záplatovaným PHP a restart kontejnerů. Podrobnosti najdete v článku Záplatování PHP v kontejnerech Docker.
Adresáře a soubory v Nextcloudu
| Místo | Obsah | Bod kontroly |
|---|---|---|
config/config.php |
Přístup k databázi, secret, passwordsalt, trusted_domains |
Vložený kód, hodnoty při podezření vyhodnotit |
data/ |
Soubory uživatelů, nextcloud.log, data aplikací |
Ideálně mimo kořen dokumentů |
apps/ |
Dodávané aplikace | Kontrola integrity |
custom_apps/ (podle instalace) |
Aplikace z App Store | Neznámé nebo osiřelé aplikace |
themes/ |
Vlastní vzhled | Cizí JavaScript |
Neškodné kontroly pomocí occ, spouštěné jako uživatel webového serveru:
# Zobrazit stav a verzi
sudo -u www-data php occ status
# Zkontrolovat soubory jádra proti podepsaným originálům
sudo -u www-data php occ integrity:check-core
# Zobrazit nainstalované a aktivní aplikace
sudo -u www-data php occ app:list
# Vypsat uživatelské účty
sudo -u www-data php occ user:list
Uživatelské jméno webového serveru se liší podle distribuce. Pokud kontrola integrity hlásí změněné nebo dodatečné soubory, nenahrazujte je hned, ale nejprve zálohujte stav. Jen tak lze později dohledat, co se změnilo a od kdy.
Nastavení správy ukazují v části „Přehled“ bezpečnostní a konfigurační varování. Berte je vážně; často upozorňují na veřejně dostupný adresář data nebo chybějící bezpečnostní hlavičky.
Aplikace, účty správců a sdílení
Aplikace z Nextcloud App Store rozšiřují platformu o kancelářské funkce, formuláře, Talk nebo integrace. Každá aplikace je dodatečný kód PHP s vlastní péčí. Odstraňte aplikace, které nikdo nepoužívá, a ověřte, zda všechny aplikace odpovídají nainstalované verzi Nextcloudu.
Zkontrolujte skupinu „admin“, zda neobsahuje neznámé členy, aktivujte dvoufázové přihlášení pro všechny účty se zvýšenými právy a zkontrolujte hesla aplikací i veřejné odkazy ke sdílení. Cizí veřejný odkaz na citlivou složku je únik dat, který žádná kontrola souborů nenahlásí.
Co aktualizace Nextcloudu zvládne a co ne
Aktualizace Nextcloudu nahradí jádro a dodávané aplikace a uzavře v nich známé chyby. Nezáplatuje PHP, nerestartuje ani PHP-FPM, ani procesy cron a neodstraní soubory v adresáři data, cizí účty ani sdílení. Neprokazuje také, že mezi 17. a 21. 10. 2026 nic neuniklo. Uchovejte logy webového serveru a Nextcloudu od 20. 10. 2026.
Po podezření byste také měli zneplatnit relace desktopových a mobilních klientů a hesla aplikací, aby se všechna zařízení musela přihlásit znovu. Zkontrolujte i připojená externí úložiště, například síťové disky nebo objektová úložiště. Jejich přístupové údaje jsou v Nextcloudu uloženy a při útoku mohly být přečteny. Obnovte tyto přístupy po dohodě s příslušnými odpovědnými osobami.
Jak konkrétně pomáhá PHP SOS?
- Kontrolujeme webové, cron i kontejnerové PHP vašeho Nextcloudu a necháme prokázat záplatu a restart.
- Zálohujeme logy a provádíme kontrolu integrity i kontrolu aplikací, účtů a sdílení.
- S vámi posoudíme, zda má Nextcloud zůstat veřejně dostupný, nebo patří za VPN.
- V rámci zpevnění serveru uložíme adresář
datamimo kořen dokumentů a řádně nastavíme práva a nastavení PHP.
Časté dotazy
Týká se PHP2Shell Nextcloudu?
Nextcloud běží na PHP. Pokud PHP serveru není záplatované, může útočník podle týmu PHP spustit kód bez přihlášení, a tím získat přístup k uloženým souborům. Aktualizace Nextcloudu zranitelnost PHP neuzavře.
Chrání šifrování na straně serveru v Nextcloudu před PHP2Shell?
Jen omezeně. Při šifrování na straně serveru leží klíče na stejném serveru. Kdo tam může spouštět kód, může za určitých okolností přistupovat i k dešifrovanému obsahu.
Jak zjistím, zda byly soubory Nextcloudu změněny?
Příkazem occ integrity:check-core porovná Nextcloud soubory jádra s podepsanými originály. Nápadné výsledky by se měly odborně posoudit dříve, než se soubory nahradí.
Má být Nextcloud dostupný z internetu?
Záleží na využití. Pokud se Nextcloud používá jen interně, přístup výhradně přes VPN výrazně snižuje plochu pro útok. Pro externí sdílení je pak potřeba promyšlené řešení.