Εν συντομία: Η ευπάθεια PHP2Shell της PHP που αφορά το Nextcloud δεν βρίσκεται στο Nextcloud, αλλά στην PHP του διακομιστή. Επειδή το Nextcloud είναι συχνά η κεντρική αποθήκευση αρχείων μιας επιχείρησης, οι συνέπειες μιας επίθεσης είναι ιδιαίτερα μεγάλες. Κάντε patch στην PHP για web και cron, επανεκκινήστε όλες τις διεργασίες και έπειτα ελέγξτε την ακεραιότητα, το config.php και τον κατάλογο data.
Γιατί το Nextcloud είναι ιδιαίτερα κρίσιμο μετά το PHP2Shell
Το Nextcloud χρησιμεύει σε πολλές επιχειρήσεις, δικηγορικά γραφεία, ιατρεία και υπηρεσίες ως ιδιωτικό cloud: συμβόλαια, έγγραφα προσωπικού, προσφορές, αρχεία έργων, ημερολόγια και επαφές. Συχνά είναι προσβάσιμο από το διαδίκτυο, ώστε οι εργαζόμενοι να εργάζονται εν κινήσει. Οι ευπάθειες PHP CVE-2026-109618 και CVE-2026-109619 επιτρέπουν, σύμφωνα με την ομάδα της PHP, εξ αποστάσεως εκτέλεση κακόβουλου κώδικα χωρίς σύνδεση.
Όποιος εκτελεί κώδικα στον διακομιστή Nextcloud μπορεί υπό συνθήκες να διαβάσει όλα τα αρχεία που είναι αποθηκευμένα εκεί. Η κρυπτογράφηση από την πλευρά του διακομιστή βοηθά εδώ μόνο περιορισμένα, επειδή τα κλειδιά βρίσκονται στο ίδιο σύστημα. Θέστε γι' αυτό νωρίς το ερώτημα ποια προσωπικά δεδομένα μπορεί να επηρεάζονται· γενικές υποδείξεις προσφέρει η Υποχρέωση γνωστοποίησης βάσει ΓΚΠΔ: 72 ώρες.
Ευπάθεια PHP στο Nextcloud: έλεγχος web, cron και containers
Το Nextcloud χρησιμοποιεί την PHP με δύο τρόπους. Οι κλήσεις σελίδων και ο συγχρονισμός εκτελούνται μέσω PHP-FPM ή mod_php. Οι εργασίες παρασκηνίου εκτελούνται ιδανικά μέσω system cron με την PHP γραμμής εντολών, όπως και η εντολή διαχείρισης occ. Και οι δύο δρόμοι πρέπει να έχουν patch.
Την έκδοση PHP την βλέπουν οι διαχειριστές στις ρυθμίσεις διαχείρισης μέσω της ενσωματωμένης εφαρμογής παρακολούθησης (serverinfo). Οι διορθωμένες εκδόσεις upstream είναι οι 8.5.12, 8.4.27, 8.3.36 και 8.2.35· τα backports των διανομών φέρουν συχνά παλαιότερους αριθμούς. Ποιες εκδόσεις PHP υποστηρίζει η έκδοση του Nextcloud σας, ελέγξτε σύμφωνα με τις απαιτήσεις συστήματος στην τεκμηρίωση στο nextcloud.com.
Πολλές εγκαταστάσεις Nextcloud εκτελούνται σε containers. Εκεί δεν βοηθά μια ενημέρωση πακέτου στον host, μόνο μια νέα εικόνα με PHP με patch και επανεκκίνηση των containers. Λεπτομέρειες στο Patch της PHP σε containers Docker.
Φάκελοι και αρχεία στο Nextcloud
| Θέση | Περιεχόμενο | Σημείο ελέγχου |
|---|---|---|
config/config.php |
Στοιχεία πρόσβασης στη βάση δεδομένων, secret, passwordsalt, trusted_domains |
Εισαγόμενος κώδικας, αξιολόγηση των τιμών μετά από υποψία |
data/ |
Αρχεία χρηστών, nextcloud.log, δεδομένα εφαρμογών |
Ιδανικά εκτός της ρίζας εγγράφων |
apps/ |
Ενσωματωμένες εφαρμογές | Έλεγχος ακεραιότητας |
custom_apps/ (ανάλογα με την εγκατάσταση) |
Εφαρμογές από το App Store | Άγνωστες ή ορφανές εφαρμογές |
themes/ |
Δικός σας σχεδιασμός | Ξένο JavaScript |
Ακίνδυνοι έλεγχοι με το occ, που εκτελούνται ως χρήστης του διακομιστή ιστού:
# Εμφάνιση κατάστασης και έκδοσης
sudo -u www-data php occ status
# Έλεγχος των αρχείων του core σε σχέση με τα υπογεγραμμένα πρωτότυπα
sudo -u www-data php occ integrity:check-core
# Εμφάνιση εγκατεστημένων και ενεργών εφαρμογών
sudo -u www-data php occ app:list
# Εμφάνιση λογαριασμών χρηστών
sudo -u www-data php occ user:list
Το όνομα χρήστη του διακομιστή ιστού διαφέρει ανάλογα με τη διανομή. Αν ο έλεγχος ακεραιότητας αναφέρει αλλαγμένα ή επιπλέον αρχεία, μην τα αντικαταστήσετε αμέσως, αλλά διασώστε πρώτα την κατάσταση. Μόνο έτσι μπορεί αργότερα να αποδειχθεί τι άλλαξε και από πότε.
Οι ρυθμίσεις διαχείρισης δείχνουν στην «Επισκόπηση» προειδοποιήσεις ασφαλείας και εγκατάστασης. Λάβετέ τες σοβαρά υπόψη· συχνά υποδεικνύουν έναν δημόσια προσβάσιμο κατάλογο data ή ελλιπείς κεφαλίδες ασφαλείας.
Εφαρμογές, λογαριασμοί admin και κοινοποιήσεις
Οι εφαρμογές από το Nextcloud App Store επεκτείνουν την πλατφόρμα με office, φόρμες, Talk ή ενσωματώσεις. Κάθε εφαρμογή είναι πρόσθετος κώδικας PHP με δική της συντήρηση. Αφαιρέστε τις εφαρμογές που κανείς δεν χρησιμοποιεί και ελέγξτε αν όλες οι εφαρμογές ταιριάζουν με την εγκατεστημένη έκδοση του Nextcloud.
Ελέγξτε την ομάδα «admin» για άγνωστα μέλη, ενεργοποιήστε τη σύνδεση δύο παραγόντων για όλους τους λογαριασμούς με αυξημένα δικαιώματα και ελέγξτε τους κωδικούς εφαρμογών και τους δημόσιους συνδέσμους κοινοποίησης. Ένας ξένος δημόσιος σύνδεσμος σε έναν ευαίσθητο φάκελο είναι διαρροή δεδομένων που καμία σάρωση αρχείων δεν αναφέρει.
Τι μπορεί μια ενημέρωση του Nextcloud και τι όχι
Μια ενημέρωση του Nextcloud αντικαθιστά το core και τις ενσωματωμένες εφαρμογές και κλείνει γνωστά σφάλματα σε αυτά. Δεν κάνει patch στην PHP, δεν επανεκκινεί ούτε το PHP-FPM ούτε διεργασίες cron και δεν αφαιρεί αρχεία στον κατάλογο data, ξένους λογαριασμούς και κοινοποιήσεις. Δεν αποδεικνύει επίσης ότι μεταξύ 17 και 21/10/2026 δεν διέρρευσε τίποτα. Διατηρήστε τα logs του διακομιστή ιστού και του Nextcloud από τις 20/10/2026.
Μετά από υποψία πρέπει επιπλέον να ακυρώσετε συνεδρίες πελατών desktop και κινητών καθώς και κωδικούς εφαρμογών, ώστε όλες οι συσκευές να πρέπει να συνδεθούν ξανά. Ελέγξτε και τους συνδεδεμένους εξωτερικούς χώρους αποθήκευσης, όπως μονάδες δικτύου ή αποθήκευση αντικειμένων. Τα στοιχεία πρόσβασής τους είναι αποθηκευμένα στο Nextcloud και μπορεί να διαβάστηκαν σε μια επίθεση. Ανανεώστε αυτές τις προσβάσεις σε συνεννόηση με τους αντίστοιχους υπευθύνους.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Ελέγχουμε την PHP web, cron και containers του Nextcloud σας και αποδεικνύουμε το patch και την επανεκκίνηση.
- Διασώζουμε logs και διενεργούμε έλεγχο ακεραιότητας καθώς και έλεγχο εφαρμογών, λογαριασμών και κοινοποιήσεων.
- Αξιολογούμε μαζί σας αν το Nextcloud πρέπει να παραμείνει δημόσια προσβάσιμο ή να μπει πίσω από VPN.
- Στο πλαίσιο της σκλήρυνσης διακομιστή τοποθετούμε τον κατάλογο
dataεκτός της ρίζας εγγράφων και ρυθμίζουμε σωστά δικαιώματα και ρυθμίσεις PHP.
Συχνές ερωτήσεις
Επηρεάζεται το Nextcloud από το PHP2Shell;
Το Nextcloud εκτελείται σε PHP. Αν η PHP του διακομιστή δεν έχει patch, ένας επιτιθέμενος μπορεί, σύμφωνα με την ομάδα της PHP, να εκτελέσει κώδικα χωρίς σύνδεση και έτσι να αποκτήσει πρόσβαση στα αποθηκευμένα αρχεία. Μια ενημέρωση του Nextcloud δεν κλείνει την ευπάθεια της PHP.
Προστατεύει η κρυπτογράφηση από την πλευρά του διακομιστή του Nextcloud από το PHP2Shell;
Μόνο περιορισμένα. Στην κρυπτογράφηση από την πλευρά του διακομιστή τα κλειδιά βρίσκονται στον ίδιο διακομιστή. Όποιος μπορεί να εκτελέσει κώδικα εκεί μπορεί υπό συνθήκες να αποκτήσει πρόσβαση και σε αποκρυπτογραφημένα περιεχόμενα.
Πώς ελέγχω αν έχουν αλλάξει αρχεία του Nextcloud;
Με την εντολή occ integrity:check-core το Nextcloud συγκρίνει τα αρχεία του core με τα υπογεγραμμένα πρωτότυπα. Τα ανησυχητικά αποτελέσματα πρέπει να αξιολογηθούν από ειδικό προτού αντικατασταθούν αρχεία.
Πρέπει το Nextcloud να είναι προσβάσιμο από το διαδίκτυο;
Εξαρτάται από τη χρήση. Αν το Nextcloud χρειάζεται μόνο εσωτερικά, η πρόσβαση αποκλειστικά μέσω VPN μειώνει σημαντικά την επιφάνεια επίθεσης. Για εξωτερικές κοινοποιήσεις χρειάζεται τότε μια συνειδητή λύση.