Īsi: Nextcloud PHP ievainojamība PHP2Shell atrodas nevis Nextcloud, bet servera PHP. Tā kā Nextcloud bieži ir uzņēmuma centrālā failu glabātuve, uzbrukuma sekas ir īpaši lielas. Ielāpojiet PHP tīmeklim un cron, pārstartējiet visus procesus un pēc tam pārbaudiet integritāti, config.php un direktoriju data.
Kāpēc Nextcloud pēc PHP2Shell ir īpaši kritisks
Nextcloud daudziem uzņēmumiem, advokātu birojiem, praksēm un pārvaldēm kalpo kā pašu mākonis: līgumi, personāla dokumenti, piedāvājumi, projektu faili, kalendāri un kontakti. Bieži tas ir pieejams no interneta, lai darbinieki var strādāt ceļā. PHP ievainojamības CVE-2026-109618 un CVE-2026-109619 saskaņā ar PHP komandu ļauj izpildīt ļaunprātīgu kodu no attāluma bez pieteikšanās.
Kas Nextcloud serverī izpilda kodu, noteiktos apstākļos var nolasīt visus tur glabātos failus. Servera puses šifrēšana tur palīdz tikai ierobežoti, jo atslēgas atrodas tajā pašā sistēmā. Tāpēc savlaicīgi uzdodiet sev jautājumu, kuri personas dati varētu būt skarti; vispārīgus norādījumus sniedz VDAR ziņošanas pienākums: 72 stundas.
Nextcloud PHP ievainojamība: tīmekļa, cron un konteineru pārbaude
Nextcloud izmanto PHP divējādi. Lapu izsaukumi un sinhronizācija darbojas caur PHP-FPM vai mod_php. Fona uzdevumi ideālā gadījumā darbojas ar sistēmas cron, izmantojot komandrindas PHP, tāpat kā pārvaldības komanda occ. Abiem ceļiem jābūt ielāpotiem.
PHP versiju administratori redz pārvaldības iestatījumos ar komplektā iekļauto monitoringa lietotni (serverinfo). Labotās upstream versijas ir 8.5.12, 8.4.27, 8.3.36 un 8.2.35; distributīvu backport labojumiem bieži ir vecāki numuri. Kuras PHP versijas atbalsta jūsu Nextcloud versija, pārbaudiet pēc sistēmas prasībām dokumentācijā vietnē nextcloud.com.
Daudzas Nextcloud instalācijas darbojas konteineros. Tur nepalīdz pakotņu atjauninājums uz resursdatora, bet tikai jauns attēls (image) ar ielāpotu PHP un konteineru pārstartēšana. Sīkāk lasiet rakstā PHP ielāpošana Docker konteineros.
Direktorijas un faili Nextcloud
| Vieta | Saturs | Pārbaudes punkts |
|---|---|---|
config/config.php |
Datubāzes piekļuve, secret, passwordsalt, trusted_domains |
Ievietots kods, vērtības aizdomu gadījumā izvērtēt |
data/ |
Lietotāju faili, nextcloud.log, lietotņu dati |
Ideālā gadījumā ārpus dokumentu saknes |
apps/ |
Komplektā iekļautās lietotnes | Integritātes pārbaude |
custom_apps/ (atkarībā no instalācijas) |
Lietotnes no App Store | Nezināmas vai pamestas lietotnes |
themes/ |
Pašu dizains | Svešs JavaScript |
Droši pārbaudes soļi ar occ, izpildot kā tīmekļa servera lietotājs:
# Parādīt statusu un versiju
sudo -u www-data php occ status
# Pārbaudīt core failus pret parakstītajiem oriģināliem
sudo -u www-data php occ integrity:check-core
# Parādīt instalētās un aktīvās lietotnes
sudo -u www-data php occ app:list
# Uzskaitīt lietotāju kontus
sudo -u www-data php occ user:list
Tīmekļa servera lietotājvārds atšķiras atkarībā no distributīva. Ja integritātes pārbaude ziņo par mainītiem vai papildu failiem, neaizstājiet tos uzreiz, bet vispirms saglabājiet stāvokli. Tikai tā vēlāk var izsekot, kas tika mainīts un kopš kura laika.
Pārvaldības iestatījumi sadaļā „Pārskats” rāda drošības un iestatīšanas brīdinājumus. Uztveriet tos nopietni; tie bieži norāda uz publiski pieejamu direktoriju data vai trūkstošām drošības galvenēm (headers).
Lietotnes, admin konti un kopīgošanas
Lietotnes no Nextcloud App Store paplašina platformu ar Office, veidlapām, Talk vai integrācijām. Katra lietotne ir papildu PHP kods ar savu uzturēšanu. Noņemiet lietotnes, kuras neviens neizmanto, un pārbaudiet, vai visas lietotnes atbilst uzstādītajai Nextcloud versijai.
Pārbaudiet grupu „admin” uz nezināmiem dalībniekiem, aktivizējiet divfaktoru autentifikāciju visiem kontiem ar paaugstinātām tiesībām un kontrolējiet lietotņu paroles un publiskās kopīgošanas saites. Sveša publiska saite uz jutīgu mapi ir datu noplūde, ko neziņo neviena failu skenēšana.
Ko Nextcloud atjauninājums var un ko ne
Nextcloud atjauninājums aizstāj kodolu un komplektā iekļautās lietotnes un aizver tajās zināmas kļūdas. Tas neielāpo PHP, nepārstartē ne PHP-FPM, ne cron procesus un nenoņem failus direktorijā data, svešus kontus un kopīgošanas. Tas arī nepierāda, ka laikā no 17. līdz 21.10.2026 nekas nav aizplūdis. Saglabājiet tīmekļa servera un Nextcloud žurnālus no 20.10.2026.
Aizdomu gadījumā turklāt jāanulē darbvirsmas un mobilo klientu sesijas, kā arī lietotņu paroles, lai visām ierīcēm būtu jāpiesakās no jauna. Pārbaudiet arī pieslēgtās ārējās glabātuves, piemēram, tīkla diskus vai objektu glabātuvi. To piekļuves dati ir saglabāti Nextcloud un uzbrukuma laikā varēja tikt nolasīti. Mainiet šīs piekļuves, vienojoties ar attiecīgajiem atbildīgajiem.
Kā PHP SOS palīdz konkrēti?
- Mēs pārbaudām jūsu Nextcloud tīmekļa, cron un konteinera PHP un liekam pierādīt ielāpu un pārstartēšanu.
- Mēs saglabājam žurnālus un veicam integritātes pārbaudi, kā arī lietotņu, kontu un kopīgošanu kontroli.
- Mēs kopā ar jums izvērtējam, vai Nextcloud jāpaliek publiski pieejamam vai jānovieto aiz VPN.
- Serveru nostiprināšanas ietvaros mēs novietojam direktoriju
dataārpus dokumentu saknes un sakārtoti iestatām tiesības un PHP iestatījumus.
Biežāk uzdotie jautājumi
Vai Nextcloud ir skarts ar PHP2Shell?
Nextcloud darbojas uz PHP. Ja servera PHP nav ielāpots, uzbrucējs saskaņā ar PHP komandu var bez pieteikšanās izpildīt kodu un tādējādi piekļūt glabātajiem failiem. Nextcloud atjauninājums PHP ievainojamību neaizver.
Vai Nextcloud servera puses šifrēšana pasargā no PHP2Shell?
Tikai ierobežoti. Servera puses šifrēšanas gadījumā atslēgas atrodas tajā pašā serverī. Kas tur var izpildīt kodu, noteiktos apstākļos var piekļūt arī atšifrētam saturam.
Kā pārbaudīt, vai Nextcloud faili ir mainīti?
Ar komandu occ integrity:check-core Nextcloud salīdzina kodola failus ar parakstītajiem oriģināliem. Neatbilstošus rezultātus pirms failu aizstāšanas būtu jāizvērtē speciālistam.
Vai Nextcloud jābūt pieejamam no interneta?
Tas atkarīgs no lietojuma. Ja Nextcloud vajadzīgs tikai iekšēji, piekļuve tikai caur VPN ievērojami samazina uzbrukuma virsmu. Ārējai kopīgošanai tad vajadzīgs apzināts risinājums.