En bref : la faille de sécurité PHP Nextcloud PHP2Shell ne se trouve pas dans Nextcloud, mais dans le PHP du serveur. Comme Nextcloud est souvent le stockage de fichiers central d'une entreprise, les conséquences d'une attaque sont particulièrement lourdes. Corrigez PHP pour le web et cron, redémarrez tous les processus, puis contrôlez l'intégrité, config.php et le répertoire data.
Pourquoi Nextcloud est particulièrement critique après PHP2Shell
Nextcloud sert à de nombreuses entreprises, cabinets d'avocats, cabinets médicaux et administrations de cloud propre : contrats, documents du personnel, offres, fichiers de projets, calendriers et contacts. Il est souvent accessible depuis Internet pour que les collaborateurs puissent travailler en déplacement. Les failles PHP CVE-2026-109618 et CVE-2026-109619 permettent, selon l'équipe PHP, d'exécuter du code malveillant à distance sans authentification.
Qui exécute du code sur le serveur Nextcloud peut, dans certaines circonstances, lire tous les fichiers qui y sont stockés. Le chiffrement côté serveur n'aide ici que de façon limitée, car les clés se trouvent sur le même système. Posez-vous donc tôt la question de savoir quelles données personnelles pourraient être concernées ; des indications générales sont proposées par Obligation de notification RGPD : 72 heures.
Faille PHP Nextcloud : vérifier le web, cron et les conteneurs
Nextcloud utilise PHP de deux façons. Les appels de pages et la synchronisation passent par PHP-FPM ou mod_php. Les tâches d'arrière-plan s'exécutent idéalement par cron système avec le PHP en ligne de commande, tout comme la commande d'administration occ. Les deux voies doivent être corrigées.
Les administrateurs voient la version de PHP dans les réglages d'administration via l'app de surveillance fournie (serverinfo). Les versions corrigées en amont sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35 ; les backports des distributions portent souvent des numéros plus anciens. Les versions de PHP prises en charge par votre version de Nextcloud se vérifient dans la configuration requise de la documentation sur nextcloud.com.
De nombreuses installations Nextcloud tournent dans des conteneurs. Une mise à jour de paquets sur l'hôte n'y aide pas, seule une nouvelle image avec un PHP corrigé et un redémarrage des conteneurs le font. Les détails se trouvent sous Corriger PHP dans les conteneurs Docker.
Dossiers et fichiers dans Nextcloud
| Emplacement | Contenu | Point de contrôle |
|---|---|---|
config/config.php |
Accès à la base de données, secret, passwordsalt, trusted_domains |
code inséré, évaluer les valeurs en cas de soupçon |
data/ |
Fichiers des utilisateurs, nextcloud.log, données des apps |
idéalement en dehors de la racine web |
apps/ |
apps fournies | contrôle d'intégrité |
custom_apps/ (selon l'installation) |
Apps de l'App Store | apps inconnues ou orphelines |
themes/ |
design propre | JavaScript étranger |
Contrôles sans danger avec occ, exécutés en tant qu'utilisateur du serveur web :
# Afficher le statut et la version
sudo -u www-data php occ status
# Vérifier les fichiers du cœur par rapport aux originaux signés
sudo -u www-data php occ integrity:check-core
# Afficher les apps installées et actives
sudo -u www-data php occ app:list
# Lister les comptes utilisateurs
sudo -u www-data php occ user:list
Le nom d'utilisateur du serveur web diffère selon la distribution. Si le contrôle d'intégrité signale des fichiers modifiés ou supplémentaires, ne les remplacez pas immédiatement, mais sauvegardez d'abord l'état. Ce n'est qu'ainsi qu'on pourra comprendre plus tard ce qui a été modifié et depuis quand.
Les réglages d'administration affichent sous « Vue d'ensemble » des avertissements de sécurité et de configuration. Prenez-les au sérieux ; ils signalent souvent un répertoire data accessible publiquement ou des en-têtes de sécurité manquants.
Apps, comptes admin et partages
Les apps de l'App Store de Nextcloud étendent la plateforme avec la bureautique, les formulaires, Talk ou des intégrations. Chaque app est du code PHP supplémentaire avec sa propre maintenance. Supprimez les apps que personne n'utilise et vérifiez que toutes les apps correspondent à la version de Nextcloud installée.
Contrôlez le groupe « admin » à la recherche de membres inconnus, activez l'authentification à deux facteurs pour tous les comptes à droits élevés et vérifiez les mots de passe d'application et les liens de partage publics. Un lien public étranger vers un dossier sensible est une fuite de données qu'aucune analyse de fichiers ne signale.
Ce qu'une mise à jour de Nextcloud peut faire et ne peut pas faire
Une mise à jour de Nextcloud remplace le cœur et les apps fournies et y comble des défauts connus. Elle ne corrige pas PHP, ne redémarre ni PHP-FPM ni les processus cron et ne supprime aucun fichier du répertoire data, aucun compte étranger et aucun partage. Elle ne prouve pas non plus que rien n'a fui entre le 17/10/2026 et le 21/10/2026. Conservez les journaux du serveur web et de Nextcloud à partir du 20/10/2026.
En cas de soupçon, vous devriez en outre invalider les sessions des clients de bureau et mobiles ainsi que les mots de passe d'application, afin que tous les appareils doivent se reconnecter. Vérifiez aussi les stockages externes connectés, comme les lecteurs réseau ou le stockage d'objets. Leurs identifiants sont enregistrés dans Nextcloud et ont pu être lus lors d'une attaque. Renouvelez ces accès en concertation avec les responsables concernés.
Comment PHP SOS aide-t-il concrètement ?
- Nous contrôlons le PHP web, cron et conteneur de votre Nextcloud et faisons justifier le correctif et le redémarrage.
- Nous sauvegardons les journaux et effectuons le contrôle d'intégrité ainsi que la vérification des apps, des comptes et des partages.
- Nous évaluons avec vous si Nextcloud doit rester accessible publiquement ou doit passer derrière un VPN.
- Dans le cadre du durcissement du serveur, nous plaçons le répertoire
dataen dehors de la racine web et réglons proprement les droits et les paramètres PHP.
Questions fréquentes
Nextcloud est-il concerné par PHP2Shell ?
Nextcloud fonctionne sur PHP. Si le PHP du serveur n'est pas corrigé, un attaquant peut, selon l'équipe PHP, exécuter du code sans authentification et ainsi accéder aux fichiers stockés. Une mise à jour de Nextcloud ne comble pas la faille PHP.
Le chiffrement côté serveur de Nextcloud protège-t-il contre PHP2Shell ?
Seulement de façon limitée. Avec le chiffrement côté serveur, les clés se trouvent sur le même serveur. Qui peut y exécuter du code peut, dans certaines circonstances, aussi accéder aux contenus déchiffrés.
Comment vérifier si des fichiers Nextcloud ont été modifiés ?
Avec la commande occ integrity:check-core, Nextcloud compare les fichiers du cœur aux originaux signés. Les résultats anormaux devraient être évalués par un spécialiste avant que des fichiers ne soient remplacés.
Nextcloud doit-il être accessible depuis Internet ?
Cela dépend de l'usage. Si Nextcloud n'est utilisé qu'en interne, un accès exclusivement via VPN réduit nettement la surface d'attaque. Pour les partages externes, il faut alors une solution réfléchie.