In breve: la vulnerabilità PHP di Nextcloud, PHP2Shell, non si trova in Nextcloud, ma nel PHP del server. Poiché Nextcloud è spesso l'archivio file centrale di un'azienda, le conseguenze di un attacco sono particolarmente gravi. Aggiorni PHP per web e cron, riavvii tutti i processi e poi controlli integrità, config.php e la cartella data.
Perché Nextcloud è particolarmente critico dopo PHP2Shell
Per molte aziende, studi, ambulatori e amministrazioni Nextcloud è il cloud proprio: contratti, documenti del personale, offerte, file di progetto, calendari e contatti. Spesso è raggiungibile da Internet, perché i collaboratori possano lavorare in mobilità. Le vulnerabilità PHP CVE-2026-109618 e CVE-2026-109619 consentono, secondo il team PHP, di eseguire codice dannoso da remoto senza autenticazione.
Chi esegue codice sul server Nextcloud può, in certe circostanze, leggere tutti i file lì memorizzati. La cifratura lato server aiuta in questo solo in misura limitata, perché le chiavi si trovano sullo stesso sistema. Si ponga quindi presto la domanda su quali dati personali potrebbero essere coinvolti; indicazioni generali offre Obbligo di notifica GDPR: 72 ore.
Vulnerabilità PHP di Nextcloud: verificare web, cron e container
Nextcloud usa PHP in due modi. Le visualizzazioni delle pagine e la sincronizzazione passano per PHP-FPM o mod_php. Le attività in background girano idealmente tramite cron di sistema con il PHP a riga di comando, così come il comando di amministrazione occ. Entrambi i percorsi devono essere aggiornati.
La versione di PHP la vedono gli amministratori nelle impostazioni di amministrazione tramite l'app di monitoraggio inclusa (serverinfo). Le versioni upstream corrette sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35; i backport delle distribuzioni portano spesso numeri più vecchi. Quali versioni di PHP supporta la Sua versione di Nextcloud, lo verifichi nei requisiti di sistema nella documentazione su nextcloud.com.
Molte installazioni Nextcloud girano in container. Lì non serve un aggiornamento dei pacchetti sull'host, ma solo una nuova immagine con PHP aggiornato e il riavvio dei container. I dettagli sono in Aggiornare PHP nei container Docker.
Directory e file in Nextcloud
| Posizione | Contenuto | Punto da controllare |
|---|---|---|
config/config.php |
Accesso al database, secret, passwordsalt, trusted_domains |
codice aggiunto, valutare i valori in caso di sospetto |
data/ |
File degli utenti, nextcloud.log, dati delle app |
idealmente fuori dalla document root |
apps/ |
app incluse | controllo dell'integrità |
custom_apps/ (a seconda dell'installazione) |
app dell'App Store | app sconosciute o orfane |
themes/ |
design proprio | JavaScript estraneo |
Controlli non invasivi con occ, eseguiti come utente del web server:
# Mostrare stato e versione
sudo -u www-data php occ status
# Verificare i file del core rispetto agli originali firmati
sudo -u www-data php occ integrity:check-core
# Mostrare le app installate e attive
sudo -u www-data php occ app:list
# Elencare gli account utente
sudo -u www-data php occ user:list
Il nome utente del web server varia a seconda della distribuzione. Se il controllo di integrità segnala file modificati o aggiuntivi, non li sostituisca subito, ma metta prima al sicuro lo stato. Solo così si potrà ricostruire in seguito che cosa sia stato modificato e da quando.
Le impostazioni di amministrazione mostrano sotto «Panoramica» avvisi di sicurezza e di configurazione. Li prenda sul serio; spesso segnalano una cartella data raggiungibile pubblicamente o header di sicurezza mancanti.
App, account admin e condivisioni
Le app dell'App Store di Nextcloud ampliano la piattaforma con office, moduli, Talk o integrazioni. Ogni app è codice PHP aggiuntivo con manutenzione propria. Rimuova le app che nessuno usa e verifichi che tutte le app siano compatibili con la versione di Nextcloud installata.
Controlli il gruppo «admin» alla ricerca di membri sconosciuti, attivi l'autenticazione a due fattori per tutti gli account con diritti elevati e verifichi password delle app e link di condivisione pubblici. Un link pubblico estraneo verso una cartella sensibile è una fuga di dati che nessuna scansione dei file segnala.
Che cosa può fare un aggiornamento di Nextcloud e che cosa no
Un aggiornamento di Nextcloud sostituisce core e app incluse e chiude errori noti in essi. Non applica patch a PHP, non riavvia né PHP-FPM né i processi cron e non rimuove file nella cartella data, account estranei o condivisioni. Non dimostra neppure che tra il 17 e il 21/10/2026 non sia uscito nulla. Conservi i log del web server e di Nextcloud a partire dal 20/10/2026.
In caso di sospetto dovrebbe inoltre invalidare le sessioni dei client desktop e mobili e le password delle app, in modo che tutti i dispositivi debbano riautenticarsi. Controlli anche gli archivi esterni collegati, come unità di rete o object storage. Le loro credenziali sono memorizzate in Nextcloud e in un attacco possono essere state lette. Rinnovi questi accessi in accordo con i rispettivi responsabili.
In che modo PHP SOS aiuta concretamente?
- Verifichiamo PHP web, cron e container della Sua Nextcloud e ci facciamo dimostrare patch e riavvio.
- Mettiamo al sicuro i log ed eseguiamo il controllo dell'integrità e la verifica di app, account e condivisioni.
- Valutiamo con Lei se Nextcloud debba restare raggiungibile pubblicamente o debba stare dietro una VPN.
- Nell'ambito dell'hardening del server collochiamo la cartella
datafuori dalla document root e impostiamo correttamente diritti e impostazioni PHP.
Domande frequenti
Nextcloud è interessato da PHP2Shell?
Nextcloud gira su PHP. Se il PHP del server non è aggiornato, secondo il team PHP un aggressore può eseguire codice senza autenticazione e accedere così ai file memorizzati. Un aggiornamento di Nextcloud non chiude la vulnerabilità di PHP.
La cifratura lato server di Nextcloud protegge da PHP2Shell?
Solo in misura limitata. Con la cifratura lato server le chiavi si trovano sullo stesso server. Chi può eseguire codice lì può, in certe circostanze, accedere anche ai contenuti decifrati.
Come verifico se i file di Nextcloud sono stati modificati?
Con il comando occ integrity:check-core Nextcloud confronta i file del core con gli originali firmati. I risultati anomali andrebbero valutati da un tecnico prima di sostituire i file.
Nextcloud dovrebbe essere raggiungibile da Internet?
Dipende dall'uso. Se Nextcloud serve solo internamente, un accesso esclusivamente tramite VPN riduce nettamente la superficie di attacco. Per le condivisioni esterne serve allora una soluzione ponderata.