Trumpai: Nextcloud PHP saugumo spraga PHP2Shell slypi ne Nextcloud, o serverio PHP. Kadangi Nextcloud dažnai yra centrinė įmonės failų saugykla, išpuolio pasekmės ypač didelės. Pataisykite PHP žiniatinkliui ir cron, iš naujo paleiskite visus procesus, o po to patikrinkite vientisumą, config.php ir katalogą data.
Kodėl Nextcloud po PHP2Shell ypač kritiškas
Nextcloud daugeliui įmonių, advokatų kontorų, praktikų ir administracijų yra nuosavas debesis: sutartys, personalo dokumentai, pasiūlymai, projektų failai, kalendoriai ir kontaktai. Dažnai jis pasiekiamas iš interneto, kad darbuotojai galėtų dirbti kelyje. PHP spragos CVE-2026-109618 ir CVE-2026-109619, PHP komandos teigimu, leidžia vykdyti kenkėjišką kodą nuotoliniu būdu be prisijungimo.
Kas Nextcloud serveryje vykdo kodą, tam tikromis aplinkybėmis gali perskaityti visus ten saugomus failus. Šifravimas serverio pusėje čia padeda tik ribotai, nes raktai yra toje pačioje sistemoje. Todėl anksti savęs paklauskite, kokie asmens duomenys galėjo būti paveikti; bendrų nurodymų pateikia BDAR pareiga pranešti: 72 valandos.
Nextcloud PHP saugumo spraga: žiniatinklio, cron ir konteinerių patikra
Nextcloud naudoja PHP dviem keliais. Puslapių užklausos ir sinchronizavimas veikia per PHP-FPM arba mod_php. Foninės užduotys idealiu atveju vykdomos sistemos cron su komandinės eilutės PHP, taip pat valdymo komanda occ. Abu keliai turi būti pataisyti.
PHP versiją administratoriai mato administravimo nustatymuose per pridedamą stebėsenos programą (serverinfo). Ištaisytos oficialios (upstream) versijos yra 8.5.12, 8.4.27, 8.3.36 ir 8.2.35; distribucijų atgaliniai perkėlimai (backport) dažnai turi senesnius numerius. Kurias PHP versijas palaiko jūsų Nextcloud versija, pagal sistemos reikalavimus dokumentacijoje patikrinkite nextcloud.com.
Daug Nextcloud diegimų veikia konteineriuose. Ten nepadeda paketų atnaujinimas šeimininke, o tik naujas atvaizdas (image) su pataisytu PHP ir konteinerių paleidimas iš naujo. Išsamiau puslapyje PHP pataisymas Docker konteineriuose.
Katalogai ir failai Nextcloud
| Vieta | Turinys | Patikros punktas |
|---|---|---|
config/config.php |
Duomenų bazės prieiga, secret, passwordsalt, trusted_domains |
įterptas kodas, reikšmes įvertinti kilus įtarimui |
data/ |
Naudotojų failai, nextcloud.log, programų duomenys |
idealiu atveju už dokumentų šaknies |
apps/ |
pridedamos programos | Vientisumo patikra |
custom_apps/ (priklausomai nuo diegimo) |
Programos iš App Store | nežinomos ar apleistos programos |
themes/ |
savas dizainas | svetimas JavaScript |
Nepavojingos patikros su occ, vykdomos kaip žiniatinklio serverio naudotojas:
# Rodyti būseną ir versiją
sudo -u www-data php occ status
# Patikrinti branduolio failus su pasirašytais originalais
sudo -u www-data php occ integrity:check-core
# Rodyti įdiegtas ir aktyvias programas
sudo -u www-data php occ app:list
# Išvardyti naudotojų paskyras
sudo -u www-data php occ user:list
Žiniatinklio serverio naudotojo vardas skiriasi priklausomai nuo distribucijos. Jei vientisumo patikra praneša apie pakeistus ar papildomus failus, nekeiskite jų iš karto, o pirmiausia išsaugokite būseną. Tik taip vėliau galima atsekti, kas ir nuo kada buvo pakeista.
Administravimo nustatymai skiltyje „Apžvalga“ rodo saugumo ir sąrankos įspėjimus. Žiūrėkite į juos rimtai; jie dažnai nurodo viešai pasiekiamą data katalogą ar trūkstamas saugumo antraštes.
Programos, administratorių paskyros ir bendrinimai
Programos iš Nextcloud App Store išplečia platformą biuro programomis, formomis, Talk ar integracijomis. Kiekviena programa yra papildomas PHP kodas su savo priežiūra. Pašalinkite programas, kurių niekas nenaudoja, ir patikrinkite, ar visos programos tinka įdiegtai Nextcloud versijai.
Patikrinkite grupę „admin“ dėl nežinomų narių, įjunkite dviejų veiksnių prisijungimą visoms paskyroms su išplėstinėmis teisėmis ir kontroliuokite programų slaptažodžius bei viešas bendrinimo nuorodas. Svetima vieša nuoroda į jautrų aplanką yra duomenų nutekėjimas, apie kurį nepraneša jokia failų patikra.
Ką gali Nextcloud atnaujinimas ir ko ne
Nextcloud atnaujinimas pakeičia branduolį (Core) ir pridedamas programas ir uždaro jų žinomas klaidas. Jis netaiso PHP, nepaleidžia iš naujo nei PHP-FPM, nei cron procesų ir nepašalina failų data kataloge, svetimų paskyrų ir bendrinimų. Jis taip pat neįrodo, kad tarp 2026 m. spalio 17 d. ir 21 d. nieko nenutekėjo. Saugokite žiniatinklio serverio ir Nextcloud žurnalus nuo 2026 m. spalio 20 d.
Kilus įtarimui reikėtų papildomai padaryti negaliojančias darbalaukio ir mobiliųjų klientų sesijas bei programų slaptažodžius, kad visi įrenginiai turėtų prisijungti iš naujo. Patikrinkite ir prijungtas išorines saugyklas, pavyzdžiui, tinklo diskus ar objektų saugyklą. Jų prieigos duomenys yra saugomi Nextcloud ir išpuolio metu galėjo būti perskaityti. Atnaujinkite šias prieigas suderinę su atitinkamais atsakingais asmenimis.
Kaip PHP SOS padeda konkrečiai?
- Tikriname jūsų Nextcloud žiniatinklio, cron ir konteinerių PHP ir leidžiame įrodyti pataisą bei paleidimą iš naujo.
- Išsaugome žurnalus ir atliekame vientisumo patikrą bei programų, paskyrų ir bendrinimų kontrolę.
- Kartu su jumis vertiname, ar Nextcloud turi likti viešai pasiekiamas, ar jį reikia paslėpti už VPN.
- Pagal serverio sustiprinimą
datakatalogą perkeliame už dokumentų šaknies ir tvarkingai nustatome teises bei PHP nustatymus.
Dažni klausimai
Ar Nextcloud paveiktas PHP2Shell?
Nextcloud veikia su PHP. Jei serverio PHP nepataisytas, užpuolikas, PHP komandos teigimu, gali vykdyti kodą be prisijungimo ir taip pasiekti saugomus failus. Nextcloud atnaujinimas PHP spragos neuždaro.
Ar Nextcloud šifravimas serverio pusėje apsaugo nuo PHP2Shell?
Tik ribotai. Naudojant šifravimą serverio pusėje raktai yra tame pačiame serveryje. Kas ten gali vykdyti kodą, tam tikromis aplinkybėmis gali pasiekti ir iššifruotą turinį.
Kaip patikrinti, ar Nextcloud failai buvo pakeisti?
Komanda occ integrity:check-core Nextcloud palygina branduolio (Core) failus su pasirašytais originalais. Įtartini rezultatai turėtų būti specialistų įvertinti, prieš keičiant failus.
Ar Nextcloud turėtų būti pasiekiamas iš interneto?
Tai priklauso nuo naudojimo. Jei Nextcloud reikalingas tik viduje, prieiga tik per VPN gerokai sumažina atakos paviršių. Išorinėms bendrinimo nuorodoms tada reikia sąmoningo sprendimo.