Kurz gesagt: Die Nextcloud PHP-Sicherheitslücke PHP2Shell steckt nicht in Nextcloud, sondern im PHP des Servers. Weil Nextcloud oft die zentrale Dateiablage eines Unternehmens ist, sind die Folgen eines Angriffs besonders groß. Patchen Sie PHP für Web und Cron, starten Sie alle Prozesse neu und prüfen Sie danach Integrität, config.php und das data-Verzeichnis.
Warum Nextcloud nach PHP2Shell besonders kritisch ist
Nextcloud dient vielen Unternehmen, Kanzleien, Praxen und Verwaltungen als eigene Cloud: Verträge, Personalunterlagen, Angebote, Projektdateien, Kalender und Kontakte. Oft ist sie aus dem Internet erreichbar, damit Mitarbeiter unterwegs arbeiten können. Die PHP-Lücken CVE-2026-109618 und CVE-2026-109619 erlauben laut PHP-Team Schadcode aus der Ferne ohne Anmeldung.
Wer auf dem Nextcloud-Server Code ausführt, kann unter Umständen alle dort gespeicherten Dateien lesen. Die serverseitige Verschlüsselung hilft dabei nur begrenzt, weil die Schlüssel auf demselben System liegen. Stellen Sie sich deshalb früh die Frage, welche personenbezogenen Daten betroffen sein könnten; allgemeine Hinweise bietet DSGVO-Meldepflicht: 72 Stunden.
Nextcloud PHP-Sicherheitslücke: Web, Cron und Container prüfen
Nextcloud nutzt PHP auf zwei Wegen. Seitenaufrufe und Synchronisation laufen über PHP-FPM oder mod_php. Hintergrundaufgaben laufen idealerweise per System-Cron mit dem Kommandozeilen-PHP, ebenso der Verwaltungsbefehl occ. Beide Wege müssen gepatcht sein.
Die PHP-Version sehen Administratoren in den Verwaltungseinstellungen über die mitgelieferte Monitoring-App (serverinfo). Behobene Upstream-Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35; Backports der Distributionen tragen oft ältere Nummern. Welche PHP-Versionen Ihre Nextcloud-Version unterstützt, prüfen Sie laut Systemanforderungen in der Dokumentation auf nextcloud.com.
Viele Nextcloud-Installationen laufen in Containern. Dort hilft kein Paket-Update auf dem Wirt, sondern nur ein neues Image mit gepatchtem PHP und ein Neustart der Container. Einzelheiten stehen unter PHP in Docker-Containern patchen.
Verzeichnisse und Dateien in Nextcloud
| Ort | Inhalt | Prüfpunkt |
|---|---|---|
config/config.php |
Datenbankzugang, secret, passwordsalt, trusted_domains |
eingeschobener Code, Werte nach Verdacht bewerten |
data/ |
Nutzerdateien, nextcloud.log, App-Daten |
idealerweise außerhalb der Dokumentwurzel |
apps/ |
mitgelieferte Apps | Integritätsprüfung |
custom_apps/ (je nach Installation) |
Apps aus dem App Store | unbekannte oder verwaiste Apps |
themes/ |
eigenes Design | fremdes JavaScript |
Ungefährliche Prüfungen mit occ, ausgeführt als Benutzer des Webservers:
# Status und Version anzeigen
sudo -u www-data php occ status
# Core-Dateien gegen die signierten Originale prüfen
sudo -u www-data php occ integrity:check-core
# Installierte und aktive Apps anzeigen
sudo -u www-data php occ app:list
# Benutzerkonten auflisten
sudo -u www-data php occ user:list
Der Benutzername des Webservers unterscheidet sich je nach Distribution. Meldet die Integritätsprüfung veränderte oder zusätzliche Dateien, ersetzen Sie diese nicht sofort, sondern sichern Sie zuerst den Zustand. Nur so lässt sich später nachvollziehen, was verändert wurde und seit wann.
Die Verwaltungseinstellungen zeigen unter „Übersicht“ Sicherheits- und Einrichtungswarnungen. Nehmen Sie diese ernst; sie weisen oft auf ein öffentlich erreichbares data-Verzeichnis oder fehlende Sicherheits-Header hin.
Apps, Admin-Konten und Freigaben
Apps aus dem Nextcloud App Store erweitern die Plattform um Office, Formulare, Talk oder Integrationen. Jede App ist zusätzlicher PHP-Code mit eigener Pflege. Entfernen Sie Apps, die niemand nutzt, und prüfen Sie, ob alle Apps zur installierten Nextcloud-Version passen.
Prüfen Sie die Gruppe „admin“ auf unbekannte Mitglieder, aktivieren Sie die Zwei-Faktor-Anmeldung für alle Konten mit erhöhten Rechten und kontrollieren Sie App-Passwörter und öffentliche Freigabelinks. Ein fremder öffentlicher Link auf einen sensiblen Ordner ist ein Datenabfluss, den kein Datei-Scan meldet.
Was ein Nextcloud-Update kann und was nicht
Ein Nextcloud-Update ersetzt Core und mitgelieferte Apps und schließt bekannte Fehler darin. Es patcht nicht PHP, startet weder PHP-FPM noch Cron-Prozesse neu und entfernt keine Dateien im data-Verzeichnis, keine fremden Konten und keine Freigaben. Es beweist auch nicht, dass zwischen dem 17. und 21.10.2026 nichts abgeflossen ist. Bewahren Sie Webserver- und Nextcloud-Logs ab dem 20.10.2026 auf.
Nach einem Verdacht sollten Sie außerdem Sitzungen von Desktop- und Mobil-Clients sowie App-Passwörter ungültig machen, damit sich alle Geräte neu anmelden müssen. Prüfen Sie auch angebundene externe Speicher wie Netzlaufwerke oder Objektspeicher. Deren Zugangsdaten sind in Nextcloud hinterlegt und können bei einem Angriff mitgelesen worden sein. Erneuern Sie diese Zugänge in Absprache mit den jeweils Verantwortlichen.
Wie hilft PHP SOS konkret?
- Wir prüfen Web-, Cron- und Container-PHP Ihrer Nextcloud und lassen Patch und Neustart nachweisen.
- Wir sichern Logs und führen Integritätsprüfung sowie Kontrolle von Apps, Konten und Freigaben durch.
- Wir bewerten mit Ihnen, ob Nextcloud öffentlich erreichbar bleiben muss oder hinter ein VPN gehört.
- Im Rahmen der Server-Härtung legen wir das
data-Verzeichnis außerhalb der Dokumentwurzel ab und setzen Rechte und PHP-Einstellungen sauber.
Häufige Fragen
Ist Nextcloud von PHP2Shell betroffen?
Nextcloud läuft auf PHP. Ist das PHP des Servers nicht gepatcht, kann ein Angreifer laut PHP-Team ohne Anmeldung Code ausführen und damit auf die gespeicherten Dateien zugreifen. Ein Nextcloud-Update schließt die PHP-Lücke nicht.
Schützt die serverseitige Verschlüsselung von Nextcloud vor PHP2Shell?
Nur begrenzt. Bei der serverseitigen Verschlüsselung liegen die Schlüssel auf demselben Server. Wer dort Code ausführen kann, kann unter Umständen auch auf entschlüsselte Inhalte zugreifen.
Wie prüfe ich, ob Nextcloud-Dateien verändert wurden?
Mit dem Befehl occ integrity:check-core vergleicht Nextcloud die Core-Dateien mit den signierten Originalen. Auffällige Ergebnisse sollten fachlich bewertet werden, bevor Dateien ersetzt werden.
Sollte Nextcloud aus dem Internet erreichbar sein?
Das hängt von der Nutzung ab. Wird Nextcloud nur intern gebraucht, verringert ein Zugriff ausschließlich über VPN die Angriffsfläche deutlich. Für externe Freigaben braucht es dann eine bewusste Lösung.