En resumen: la vulnerabilidad de PHP en Nextcloud, PHP2Shell, no está en Nextcloud, sino en el PHP del servidor. Como Nextcloud suele ser el almacén central de archivos de una empresa, las consecuencias de un ataque son especialmente graves. Parchee PHP para la web y cron, reinicie todos los procesos y revise después la integridad, config.php y el directorio data.
Por qué Nextcloud es especialmente crítico tras PHP2Shell
Nextcloud sirve a muchas empresas, despachos, consultas y administraciones como nube propia: contratos, documentos de personal, ofertas, archivos de proyectos, calendarios y contactos. A menudo es accesible desde internet para que los empleados puedan trabajar en movimiento. Según el equipo de PHP, las vulnerabilidades de PHP CVE-2026-109618 y CVE-2026-109619 permiten ejecutar código malicioso de forma remota y sin autenticación.
Quien ejecuta código en el servidor de Nextcloud puede, en determinadas circunstancias, leer todos los archivos almacenados allí. El cifrado del lado del servidor ayuda solo de forma limitada, porque las claves están en el mismo sistema. Por eso, plantéese pronto qué datos personales podrían estar afectados; ofrece indicaciones generales Obligación de notificación del RGPD: 72 horas.
Vulnerabilidad de PHP en Nextcloud: comprobar web, cron y contenedores
Nextcloud usa PHP de dos maneras. Las visitas a las páginas y la sincronización se ejecutan mediante PHP-FPM o mod_php. Las tareas en segundo plano se ejecutan idealmente con el cron del sistema y el PHP de línea de comandos, igual que el comando de administración occ. Ambas vías deben estar parcheadas.
Los administradores ven la versión de PHP en los ajustes de administración a través de la app de monitorización incluida (serverinfo). Las versiones corregidas de origen son 8.5.12, 8.4.27, 8.3.36 y 8.2.35; los backports de las distribuciones suelen llevar números más antiguos. Qué versiones de PHP admite su versión de Nextcloud puede consultarlo, según los requisitos del sistema, en la documentación de nextcloud.com.
Muchas instalaciones de Nextcloud se ejecutan en contenedores. Allí no ayuda una actualización de paquetes en el host, sino solo una imagen nueva con PHP parcheado y un reinicio de los contenedores. Encontrará los detalles en Parchear PHP en contenedores Docker.
Directorios y archivos en Nextcloud
| Lugar | Contenido | Punto de control |
|---|---|---|
config/config.php |
Acceso a la base de datos, secret, passwordsalt, trusted_domains |
Código añadido; valorar los valores ante una sospecha |
data/ |
Archivos de usuarios, nextcloud.log, datos de apps |
Idealmente fuera de la raíz de documentos |
apps/ |
Apps incluidas | Comprobación de integridad |
custom_apps/ (según la instalación) |
Apps del App Store | Apps desconocidas o huérfanas |
themes/ |
Diseño propio | JavaScript ajeno |
Comprobaciones inofensivas con occ, ejecutadas como usuario del servidor web:
# Mostrar estado y versión
sudo -u www-data php occ status
# Comprobar los archivos del núcleo frente a los originales firmados
sudo -u www-data php occ integrity:check-core
# Mostrar las apps instaladas y activas
sudo -u www-data php occ app:list
# Listar las cuentas de usuario
sudo -u www-data php occ user:list
El nombre de usuario del servidor web varía según la distribución. Si la comprobación de integridad informa de archivos modificados o adicionales, no los sustituya de inmediato, sino que guarde primero el estado. Solo así se podrá reconstruir después qué se modificó y desde cuándo.
Los ajustes de administración muestran en «Resumen» advertencias de seguridad y de configuración. Tómelas en serio; a menudo señalan un directorio data accesible públicamente o la falta de cabeceras de seguridad.
Apps, cuentas de administrador y recursos compartidos
Las apps del App Store de Nextcloud amplían la plataforma con ofimática, formularios, Talk o integraciones. Cada app es código PHP adicional con su propio mantenimiento. Elimine las apps que nadie use y compruebe que todas encajan con la versión de Nextcloud instalada.
Revise el grupo «admin» en busca de miembros desconocidos, active la autenticación en dos pasos para todas las cuentas con derechos elevados y controle las contraseñas de aplicación y los enlaces públicos para compartir. Un enlace público ajeno a una carpeta sensible es una fuga de datos que ningún análisis de archivos detecta.
Lo que puede y no puede hacer una actualización de Nextcloud
Una actualización de Nextcloud sustituye el núcleo y las apps incluidas y cierra errores conocidos en ellos. No parchea PHP, no reinicia ni PHP-FPM ni los procesos de cron y no elimina archivos del directorio data, cuentas ajenas ni recursos compartidos. Tampoco demuestra que entre el 17 y el 21/10/2026 no se haya filtrado nada. Conserve los registros del servidor web y de Nextcloud a partir del 20/10/2026.
Ante una sospecha, debería además invalidar las sesiones de los clientes de escritorio y móviles, así como las contraseñas de aplicación, para que todos los dispositivos tengan que volver a iniciar sesión. Revise también los almacenamientos externos conectados, como unidades de red o almacenamiento de objetos. Sus credenciales están guardadas en Nextcloud y pueden haberse leído durante un ataque. Renueve esos accesos de acuerdo con los respectivos responsables.
¿Cómo ayuda PHP SOS en concreto?
- Revisamos el PHP web, el PHP de cron y el PHP de contenedor de su Nextcloud y hacemos que se acrediten el parche y el reinicio.
- Guardamos registros y realizamos la comprobación de integridad y el control de apps, cuentas y recursos compartidos.
- Valoramos con usted si Nextcloud debe seguir siendo accesible públicamente o debe ir detrás de una VPN.
- En el marco del refuerzo del servidor colocamos el directorio
datafuera de la raíz de documentos y ajustamos correctamente los permisos y la configuración de PHP.
Preguntas frecuentes
¿Está Nextcloud afectado por PHP2Shell?
Nextcloud se ejecuta sobre PHP. Si el PHP del servidor no está parcheado, según el equipo de PHP un atacante puede ejecutar código sin autenticarse y acceder así a los archivos almacenados. Una actualización de Nextcloud no cierra la vulnerabilidad de PHP.
¿Protege el cifrado del lado del servidor de Nextcloud frente a PHP2Shell?
Solo de forma limitada. Con el cifrado del lado del servidor, las claves están en el mismo servidor. Quien pueda ejecutar código allí puede, en determinadas circunstancias, acceder también a los contenidos descifrados.
¿Cómo compruebo si se han modificado archivos de Nextcloud?
Con el comando occ integrity:check-core, Nextcloud compara los archivos del núcleo con los originales firmados. Los resultados anómalos deberían valorarse por especialistas antes de sustituir archivos.
¿Debería ser Nextcloud accesible desde internet?
Depende del uso. Si Nextcloud solo se necesita internamente, un acceso exclusivamente mediante VPN reduce claramente la superficie de ataque. Para los recursos compartidos externos hace falta entonces una solución meditada.