Kort sagt: Nextcloud PHP-sårbarheden PHP2Shell sidder ikke i Nextcloud, men i serverens PHP. Fordi Nextcloud ofte er virksomhedens centrale filopbevaring, er følgerne af et angreb særligt store. Patch PHP til web og cron, genstart alle processer, og kontrollér derefter integritet, config.php og data-mappen.
Hvorfor Nextcloud er særligt kritisk efter PHP2Shell
Nextcloud tjener for mange virksomheder, advokatkontorer, praksis og forvaltninger som egen sky: kontrakter, personaledokumenter, tilbud, projektfiler, kalendere og kontakter. Ofte kan den nås fra internettet, så medarbejdere kan arbejde på farten. PHP-sårbarhederne CVE-2026-109618 og CVE-2026-109619 gør det ifølge PHP-teamet muligt at køre skadelig kode på afstand uden login.
Den, der kører kode på Nextcloud-serveren, kan under visse omstændigheder læse alle de filer, der er gemt dér. Serverside-krypteringen hjælper kun begrænset, fordi nøglerne ligger på det samme system. Stil jer derfor tidligt spørgsmålet, hvilke personoplysninger der kan være berørt; generelle oplysninger findes i GDPR-anmeldelsespligt: 72 timer.
Nextcloud PHP-sårbarhed: kontrollér web, cron og containere
Nextcloud bruger PHP på to måder. Sidekald og synkronisering kører via PHP-FPM eller mod_php. Baggrundsopgaver kører ideelt via system-cron med kommandolinje-PHP, ligeså administrationskommandoen occ. Begge veje skal være patchet.
PHP-versionen ser administratorer i administrationsindstillingerne via den medfølgende overvågnings-app (serverinfo). Rettede upstream-versioner er 8.5.12, 8.4.27, 8.3.36 og 8.2.35; distributioners backports bærer ofte ældre numre. Hvilke PHP-versioner jeres Nextcloud-version understøtter, kontrollerer I ifølge systemkravene i dokumentationen på nextcloud.com.
Mange Nextcloud-installationer kører i containere. Dér hjælper ingen pakkeopdatering på værten, kun et nyt image med patchet PHP og en genstart af containerne. Enkeltheder står under Patch PHP i Docker-containere.
Mapper og filer i Nextcloud
| Sted | Indhold | Kontrolpunkt |
|---|---|---|
config/config.php |
Databaseadgang, secret, passwordsalt, trusted_domains |
indskudt kode, vurdér værdier ved mistanke |
data/ |
Brugerfiler, nextcloud.log, app-data |
ideelt uden for dokumentroden |
apps/ |
medfølgende apps | Integritetskontrol |
custom_apps/ (afhængigt af installationen) |
Apps fra App Store | ukendte eller forladte apps |
themes/ |
eget design | fremmed JavaScript |
Ufarlige kontroller med occ, kørt som webserverens bruger:
# Vis status og version
sudo -u www-data php occ status
# Kontrollér core-filer mod de signerede originaler
sudo -u www-data php occ integrity:check-core
# Vis installerede og aktive apps
sudo -u www-data php occ app:list
# List brugerkonti
sudo -u www-data php occ user:list
Webserverens brugernavn er forskelligt efter distribution. Melder integritetskontrollen ændrede eller ekstra filer, så erstat dem ikke med det samme, men sikr først tilstanden. Kun sådan kan det senere forstås, hvad der er ændret, og siden hvornår.
Administrationsindstillingerne viser under "Oversigt" sikkerheds- og opsætningsadvarsler. Tag dem alvorligt; de peger ofte på en offentligt tilgængelig data-mappe eller manglende sikkerhedsheadere.
Apps, admin-konti og delinger
Apps fra Nextcloud App Store udvider platformen med office, formularer, Talk eller integrationer. Hver app er yderligere PHP-kode med egen vedligeholdelse. Fjern apps, som ingen bruger, og kontrollér, at alle apps passer til den installerede Nextcloud-version.
Kontrollér gruppen "admin" for ukendte medlemmer, aktivér totrinsgodkendelse for alle konti med forhøjede rettigheder, og kontrollér app-adgangskoder og offentlige delingslinks. Et fremmed offentligt link til en følsom mappe er et dataudslip, som ingen filscanning melder.
Hvad en Nextcloud-opdatering kan, og hvad den ikke kan
En Nextcloud-opdatering erstatter core og medfølgende apps og lukker kendte fejl i dem. Den patcher ikke PHP, genstarter hverken PHP-FPM eller cron-processer og fjerner ingen filer i data-mappen, ingen fremmede konti og ingen delinger. Den beviser heller ikke, at der ikke er sivet noget ud mellem den 17. og 21.10.2026. Opbevar webserver- og Nextcloud-logs fra 20.10.2026.
Ved mistanke bør I desuden gøre sessioner fra desktop- og mobilklienter samt app-adgangskoder ugyldige, så alle enheder skal logge ind på ny. Kontrollér også tilsluttet eksternt lager som netværksdrev eller objektlager. Deres adgangsdata er gemt i Nextcloud og kan være læst med ved et angreb. Forny disse adgange i samråd med de respektive ansvarlige.
Hvordan hjælper PHP SOS konkret?
- Vi kontrollerer web-, cron- og container-PHP i jeres Nextcloud og lader rettelse og genstart dokumentere.
- Vi sikrer logs og gennemfører integritetskontrol samt kontrol af apps, konti og delinger.
- Vi vurderer sammen med jer, om Nextcloud skal forblive offentligt tilgængelig eller høre hjemme bag et VPN.
- Som led i serverhærdningen lægger vi
data-mappen uden for dokumentroden og indstiller rettigheder og PHP-indstillinger korrekt.
Ofte stillede spørgsmål
Er Nextcloud berørt af PHP2Shell?
Nextcloud kører på PHP. Er serverens PHP ikke patchet, kan en angriber ifølge PHP-teamet køre kode uden login og dermed få adgang til de gemte filer. En Nextcloud-opdatering lukker ikke PHP-sårbarheden.
Beskytter Nextclouds serverside-kryptering mod PHP2Shell?
Kun begrænset. Ved serverside-kryptering ligger nøglerne på den samme server. Den, der kan køre kode dér, kan under visse omstændigheder også få adgang til dekrypteret indhold.
Hvordan kontrollerer jeg, om Nextcloud-filer er ændret?
Med kommandoen occ integrity:check-core sammenligner Nextcloud core-filerne med de signerede originaler. Påfaldende resultater bør vurderes fagligt, før filer erstattes.
Skal Nextcloud kunne nås fra internettet?
Det afhænger af brugen. Bruges Nextcloud kun internt, mindsker adgang udelukkende via VPN angrebsfladen markant. Til eksterne delinger kræves så en bevidst løsning.