Ukratko: Nextcloud PHP ranjivost PHP2Shell nije u Nextcloudu, nego u PHP-u poslužitelja. Budući da je Nextcloud često središnja pohrana datoteka poduzeća, posljedice napada osobito su velike. Zakrpajte PHP za web i cron, ponovno pokrenite sve procese, a potom provjerite integritet, config.php i direktorij data.
Zašto je Nextcloud nakon PHP2Shella osobito kritičan
Nextcloud mnogim poduzećima, odvjetničkim uredima, ordinacijama i upravama služi kao vlastiti oblak: ugovori, osobna dokumentacija, ponude, projektne datoteke, kalendari i kontakti. Često je dostupan s interneta kako bi zaposlenici mogli raditi na putu. PHP ranjivosti CVE-2026-109618 i CVE-2026-109619 prema PHP timu omogućuju zlonamjerni kôd na daljinu bez prijave.
Tko na Nextcloud poslužitelju izvrši kôd, pod određenim uvjetima može pročitati sve tamo pohranjene datoteke. Šifriranje na strani poslužitelja tu pomaže samo ograničeno jer se ključevi nalaze na istom sustavu. Zato si rano postavite pitanje koji bi osobni podaci mogli biti pogođeni; opće napomene nudi Obveza prijave prema GDPR-u: 72 sata.
Nextcloud PHP ranjivost: provjera weba, crona i kontejnera
Nextcloud koristi PHP na dva načina. Pozivi stranica i sinkronizacija idu putem PHP-FPM-a ili mod_php-a. Pozadinski zadaci idealno rade putem sistemskog crona s PHP-om naredbenog retka, kao i administrativna naredba occ. Oba puta moraju biti zakrpana.
Verziju PHP-a administratori vide u postavkama administracije putem priložene aplikacije za nadzor (serverinfo). Ispravljene upstream verzije su 8.5.12, 8.4.27, 8.3.36 i 8.2.35; backportovi distribucija često nose starije brojeve. Koje PHP verzije podržava Vaša verzija Nextclouda, provjerite prema sistemskim zahtjevima u dokumentaciji na nextcloud.com.
Mnoge Nextcloud instalacije rade u kontejnerima. Tamo ne pomaže ažuriranje paketa na hostu, nego samo nova slika sa zakrpanim PHP-om i ponovno pokretanje kontejnera. Pojedinosti su na stranici Zakrpavanje PHP-a u Docker kontejnerima.
Direktoriji i datoteke u Nextcloudu
| Mjesto | Sadržaj | Točka provjere |
|---|---|---|
config/config.php |
Pristup bazi podataka, secret, passwordsalt, trusted_domains |
Umetnuti kôd, nakon sumnje ocijeniti vrijednosti |
data/ |
Datoteke korisnika, nextcloud.log, podaci aplikacija |
Idealno izvan korijena dokumenata |
apps/ |
Priložene aplikacije | Provjera integriteta |
custom_apps/ (ovisno o instalaciji) |
Aplikacije iz App Storea | Nepoznate ili zaostale aplikacije |
themes/ |
Vlastiti dizajn | Strani JavaScript |
Neopasne provjere s occ, izvršene kao korisnik web-poslužitelja:
# Prikaz statusa i verzije
sudo -u www-data php occ status
# Provjera datoteka jezgre prema potpisanim originalima
sudo -u www-data php occ integrity:check-core
# Prikaz instaliranih i aktivnih aplikacija
sudo -u www-data php occ app:list
# Ispis korisničkih računa
sudo -u www-data php occ user:list
Korisničko ime web-poslužitelja razlikuje se ovisno o distribuciji. Ako provjera integriteta prijavi izmijenjene ili dodatne datoteke, nemojte ih odmah zamijeniti, nego prvo osigurajte stanje. Samo se tako kasnije može pratiti što je izmijenjeno i od kada.
Postavke administracije pod „Pregled“ prikazuju sigurnosna upozorenja i upozorenja o postavljanju. Shvatite ih ozbiljno; često upućuju na javno dostupan direktorij data ili na nedostajuća sigurnosna zaglavlja.
Aplikacije, admin računi i dijeljenja
Aplikacije iz Nextcloud App Storea proširuju platformu uredom, obrascima, Talkom ili integracijama. Svaka je aplikacija dodatni PHP kôd s vlastitim održavanjem. Uklonite aplikacije koje nitko ne koristi i provjerite odgovaraju li sve aplikacije instaliranoj verziji Nextclouda.
Provjerite grupu „admin“ na nepoznate članove, aktivirajte dvofaktorsku prijavu za sve račune s povišenim pravima te kontrolirajte lozinke aplikacija i javne poveznice za dijeljenje. Strana javna poveznica na osjetljivu mapu istjecanje je podataka koje nijedno skeniranje datoteka ne prijavljuje.
Što Nextcloud ažuriranje može, a što ne
Nextcloud ažuriranje zamjenjuje jezgru i priložene aplikacije te zatvara poznate pogreške u njima. Ne zakrpava PHP, ne pokreće ponovno ni PHP-FPM ni cron procese i ne uklanja datoteke u direktoriju data, strane račune ni dijeljenja. Ne dokazuje ni da između 17. i 21.10.2026. ništa nije iscurilo. Sačuvajte logove web-poslužitelja i Nextclouda od 20.10.2026.
Nakon sumnje trebali biste uz to poništiti sesije desktop i mobilnih klijenata te lozinke aplikacija kako bi se svi uređaji morali ponovno prijaviti. Provjerite i povezanu vanjsku pohranu poput mrežnih diskova ili objektne pohrane. Njihovi pristupni podaci pohranjeni su u Nextcloudu i pri napadu su mogli biti pročitani. Obnovite te pristupe u dogovoru s odgovornim osobama.
Kako PHP SOS konkretno pomaže?
- Provjeravamo web, cron i kontejnerski PHP Vašeg Nextclouda te dajemo dokazati zakrpu i ponovno pokretanje.
- Osiguravamo logove te provodimo provjeru integriteta i kontrolu aplikacija, računa i dijeljenja.
- S Vama ocjenjujemo mora li Nextcloud ostati javno dostupan ili pripada iza VPN-a.
- U okviru ojačavanja poslužitelja direktorij
dataodlažemo izvan korijena dokumenata te uredno postavljamo prava i PHP postavke.
Česta pitanja
Pogađa li PHP2Shell Nextcloud?
Nextcloud radi na PHP-u. Ako PHP poslužitelja nije zakrpan, napadač prema PHP timu može bez prijave izvršiti kôd i tako pristupiti pohranjenim datotekama. Nextcloud ažuriranje ne zatvara PHP ranjivost.
Štiti li Nextcloudovo šifriranje na strani poslužitelja od PHP2Shella?
Samo ograničeno. Kod šifriranja na strani poslužitelja ključevi se nalaze na istom poslužitelju. Tko tamo može izvršavati kôd, pod određenim uvjetima može pristupiti i dešifriranim sadržajima.
Kako provjeriti jesu li Nextcloud datoteke izmijenjene?
Naredbom occ integrity:check-core Nextcloud uspoređuje datoteke jezgre s potpisanim originalima. Upadljive rezultate treba stručno ocijeniti prije nego što se datoteke zamijene.
Treba li Nextcloud biti dostupan s interneta?
To ovisi o uporabi. Ako je Nextcloud potreban samo interno, pristup isključivo putem VPN-a znatno smanjuje površinu napada. Za vanjska dijeljenja tada je potrebno promišljeno rješenje.