# Nextcloudin PHP-haavoittuvuus PHP2Shell: tiedostotallennuksen suojaus

> Nextcloud ja PHP2Shell: tarkista web- ja cron-PHP, suojaa config.php ja data-hakemisto, tarkista eheys occ:llä ja kontrolloi sovellukset.

Lähde: https://phpsos.de/fi/plattformen/nextcloud/  
Tilanne: 25.10.2026  
Palveluntarjoaja: PHP SOS, PHP-hätäapu ja palvelimen tietoturva. Pikaapu WhatsAppilla: https://wa.me/491736494914?text=Hei%20PHP%20SOS%2C%20tarvitsemme%20apua%20PHP-palvelimemme%20kanssa.%20Yritys%3A%20%E2%80%A6%20Verkkosivusto%3A%20%E2%80%A6

**Lyhyesti:** Nextcloudin PHP-haavoittuvuus PHP2Shell ei ole Nextcloudissa vaan palvelimen PHP:ssä. Koska Nextcloud on usein yrityksen keskeinen tiedostotallennus, hyökkäyksen seuraukset ovat erityisen suuret. Korjatkaa PHP webille ja cronille, käynnistäkää kaikki prosessit uudelleen ja tarkistakaa sen jälkeen eheys, `config.php` ja `data`-hakemisto.

## Miksi Nextcloud on PHP2Shellin jälkeen erityisen kriittinen

Nextcloud toimii monille yrityksille, asianajotoimistoille, vastaanotoille ja hallinnoille omana pilvenä: sopimukset, henkilöstöasiakirjat, tarjoukset, projektitiedostot, kalenterit ja yhteystiedot. Usein se on tavoitettavissa internetistä, jotta työntekijät voivat työskennellä liikkuessaan. PHP-tiimin mukaan PHP-haavoittuvuudet CVE-2026-109618 ja CVE-2026-109619 sallivat haittakoodin suorittamisen etänä ilman kirjautumista.

Se, joka suorittaa koodia Nextcloud-palvelimella, voi olosuhteista riippuen lukea kaikki siellä tallennetut tiedostot. Palvelinpuolen salaus auttaa tässä vain rajallisesti, koska avaimet ovat samassa järjestelmässä. Kysykää siksi ajoissa itseltänne, mitä henkilötietoja asia voisi koskea; yleisiä ohjeita antaa sivu [GDPR-ilmoitusvelvollisuus: 72 tuntia](https://phpsos.de/fi/compliance/dsgvo-meldepflicht-72-stunden/).

## Nextcloudin PHP-haavoittuvuus: web, cron ja kontit tarkistettavaksi

Nextcloud käyttää PHP:tä kahta reittiä. Sivukutsut ja synkronointi kulkevat PHP-FPM:n tai mod_php:n kautta. Taustatehtävät toimivat ihannetapauksessa järjestelmän cronilla komentorivi-PHP:llä, samoin hallintakomento `occ`. Molempien reittien on oltava korjattuja.

PHP-version ylläpitäjät näkevät hallinta-asetuksissa mukana tulevan valvontasovelluksen (serverinfo) kautta. Korjatut upstream-versiot ovat 8.5.12, 8.4.27, 8.3.36 ja 8.2.35; jakelujen backportit kantavat usein vanhempia numeroita. Mitä PHP-versioita teidän Nextcloud-versionne tukee, tarkistatte järjestelmävaatimuksista nextcloud.comin dokumentaatiosta.

Monet Nextcloud-asennukset toimivat konteissa. Siellä isännän pakettipäivitys ei auta, vaan ainoastaan uusi kuva korjatulla PHP:llä ja konttien uudelleenkäynnistys. Yksityiskohdat ovat sivulla [PHP:n korjaus Docker-konteissa](https://phpsos.de/fi/php2shell/docker-container-patchen/).

## Nextcloudin hakemistot ja tiedostot

| Paikka | Sisältö | Tarkistuskohde |
|---|---|---|
| `config/config.php` | Tietokantatunnukset, `secret`, `passwordsalt`, `trusted_domains` | sisään ujutettu koodi, arvot arvioitava epäilyn jälkeen |
| `data/` | Käyttäjien tiedostot, `nextcloud.log`, sovellusten tiedot | ihannetapauksessa dokumenttijuuren ulkopuolella |
| `apps/` | mukana tulevat sovellukset | eheystarkistus |
| `custom_apps/` (asennuksesta riippuen) | App Storen sovellukset | tuntemattomat tai orvot sovellukset |
| `themes/` | oma ulkoasu | vieras JavaScript |

Vaarattomat tarkistukset `occ`:lla, suoritettuna verkkopalvelimen käyttäjänä:

```bash
# Näytetään tila ja versio
sudo -u www-data php occ status
# Tarkistetaan ydintiedostot allekirjoitettuja alkuperäisiä vasten
sudo -u www-data php occ integrity:check-core
# Näytetään asennetut ja aktiiviset sovellukset
sudo -u www-data php occ app:list
# Listataan käyttäjätilit
sudo -u www-data php occ user:list
```

Verkkopalvelimen käyttäjänimi vaihtelee jakelun mukaan. Jos eheystarkistus ilmoittaa muuttuneista tai ylimääräisistä tiedostoista, älkää korvatko niitä heti, vaan varmuuskopioikaa ensin tila. Vain siten voi myöhemmin selvittää, mitä on muutettu ja mistä alkaen.

> **Vinkki:**
> Hallinta-asetukset näyttävät kohdassa ”Yleiskatsaus” tietoturva- ja asennusvaroituksia. Ottakaa ne vakavasti; ne viittaavat usein julkisesti saavutettavaan `data`-hakemistoon tai puuttuviin turvaotsikoihin.

## Sovellukset, ylläpitäjätilit ja jaot

Nextcloud App Storen sovellukset laajentavat alustaa toimistotyökaluilla, lomakkeilla, Talkilla tai integraatioilla. Jokainen sovellus on lisää PHP-koodia omine ylläpitoineen. Poistakaa sovellukset, joita kukaan ei käytä, ja tarkistakaa, sopivatko kaikki sovellukset asennettuun Nextcloud-versioon.

Tarkistakaa ryhmä ”admin” tuntemattomien jäsenten varalta, ottakaa kaksivaiheinen tunnistautuminen käyttöön kaikilla korotetuilla oikeuksilla varustetuilla tileillä ja kontrolloikaa sovellussalasanat ja julkiset jakolinkit. Vieras julkinen linkki arkaluonteiseen kansioon on tietovuoto, jota mikään tiedostoskannaus ei ilmoita.

## Mihin Nextcloud-päivitys pystyy ja mihin ei

Nextcloud-päivitys korvaa ytimen ja mukana tulevat sovellukset ja sulkee niiden tunnetut virheet. Se ei korjaa PHP:tä, ei käynnistä PHP-FPM:ää eikä cron-prosesseja uudelleen eikä poista tiedostoja `data`-hakemistosta, vieraita tilejä eikä jakoja. Se ei myöskään todista, ettei 17. ja 21.10.2026 välisenä aikana ole vuotanut mitään. Säilyttäkää verkkopalvelimen ja Nextcloudin lokit 20.10.2026 alkaen.

Epäilyn jälkeen kannattaa lisäksi mitätöidä työpöytä- ja mobiiliasiakkaiden istunnot sekä sovellussalasanat, jotta kaikkien laitteiden on kirjauduttava uudelleen. Tarkistakaa myös liitetyt ulkoiset tallennustilat, kuten verkkolevyt tai objektitallennus. Niiden tunnukset on tallennettu Nextcloudiin, ja ne ovat voineet tulla luetuiksi hyökkäyksessä. Uusikaa nämä yhteydet sopien asiasta kunkin vastuuhenkilön kanssa.

## Miten PHP SOS auttaa konkreettisesti?

- Tarkistamme Nextcloudinne web-, cron- ja kontti-PHP:n ja varmennamme korjauksen ja uudelleenkäynnistyksen todisteineen.
- Varmuuskopioimme lokit ja teemme eheystarkistuksen sekä sovellusten, tilien ja jakojen kontrollin.
- Arvioimme kanssanne, onko Nextcloudin pysyttävä julkisesti tavoitettavana vai kuuluuko se VPN:n taakse.
- [Palvelimen koventamisen](https://phpsos.de/fi/leistungen/server-haertung/) yhteydessä siirrämme `data`-hakemiston dokumenttijuuren ulkopuolelle ja asetamme oikeudet ja PHP-asetukset kuntoon.


## Usein kysytyt kysymykset

**Koskeeko PHP2Shell Nextcloudia?**  
Nextcloud toimii PHP:llä. Jos palvelimen PHP ei ole korjattu, hyökkääjä voi PHP-tiimin mukaan suorittaa koodia ilman kirjautumista ja päästä siten tallennettuihin tiedostoihin. Nextcloud-päivitys ei sulje PHP-aukkoa.

**Suojaako Nextcloudin palvelinpuolen salaus PHP2Shellilta?**  
Vain rajallisesti. Palvelinpuolen salauksessa avaimet ovat samalla palvelimella. Se, joka voi suorittaa siellä koodia, voi olosuhteista riippuen päästä myös purettuihin sisältöihin.

**Miten tarkistan, onko Nextcloud-tiedostoja muutettu?**  
Komennolla occ integrity:check-core Nextcloud vertaa ydintiedostoja allekirjoitettuihin alkuperäisiin. Poikkeavat tulokset kannattaa arvioida asiantuntevasti, ennen kuin tiedostoja korvataan.

**Pitäisikö Nextcloudin olla tavoitettavissa internetistä?**  
Se riippuu käytöstä. Jos Nextcloudia tarvitaan vain sisäisesti, pääsy pelkästään VPN:n kautta pienentää hyökkäyspintaa selvästi. Ulkoisille jaoille tarvitaan silloin harkittu ratkaisu.

## Lähteet

- [php.net: tietoturvatiedotteet](https://www.php.net/)
- [Nextcloud](https://nextcloud.com/)
- [BSI (Saksan liittovaltion tietoturvavirasto)](https://www.bsi.bund.de/)
- [GDPR art. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)