Kort gezegd: Het Nextcloud PHP-beveiligingslek PHP2Shell zit niet in Nextcloud, maar in de PHP van de server. Omdat Nextcloud vaak de centrale bestandsopslag van een bedrijf is, zijn de gevolgen van een aanval bijzonder groot. Patch PHP voor web en cron, herstart alle processen en controleer daarna integriteit, config.php en de data-map.
Waarom Nextcloud na PHP2Shell bijzonder kritiek is
Nextcloud dient veel bedrijven, advocatenkantoren, praktijken en overheden als eigen cloud: contracten, personeelsdocumenten, offertes, projectbestanden, agenda's en contacten. Vaak is ze vanaf het internet bereikbaar, zodat medewerkers onderweg kunnen werken. De PHP-kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 maken het volgens het PHP-team mogelijk om op afstand en zonder inloggen schadelijke code uit te voeren.
Wie op de Nextcloud-server code uitvoert, kan onder omstandigheden alle daar opgeslagen bestanden lezen. De server-side-versleuteling helpt daarbij maar beperkt, omdat de sleutels op hetzelfde systeem staan. Stel u daarom vroeg de vraag welke persoonsgegevens getroffen kunnen zijn; algemene tips biedt AVG-meldplicht: 72 uur.
Nextcloud PHP-beveiligingslek: web, cron en containers controleren
Nextcloud gebruikt PHP op twee manieren. Paginaverzoeken en synchronisatie lopen via PHP-FPM of mod_php. Achtergrondtaken lopen idealiter via een systeemcron met de opdrachtregel-PHP, evenals het beheercommando occ. Beide wegen moeten zijn gepatcht.
De PHP-versie zien beheerders in de beheerinstellingen via de meegeleverde monitoringapp (serverinfo). Verholpen upstreamversies zijn 8.5.12, 8.4.27, 8.3.36 en 8.2.35; backports van distributies dragen vaak oudere nummers. Welke PHP-versies uw Nextcloud-versie ondersteunt, controleert u volgens de systeemeisen in de documentatie op nextcloud.com.
Veel Nextcloud-installaties draaien in containers. Daar helpt geen pakketupdate op de host, maar alleen een nieuw image met gepatchte PHP en een herstart van de containers. Details staan onder PHP in Docker-containers patchen.
Mappen en bestanden in Nextcloud
| Plek | Inhoud | Controlepunt |
|---|---|---|
config/config.php |
Databasetoegang, secret, passwordsalt, trusted_domains |
ingevoegde code, waarden bij vermoeden beoordelen |
data/ |
Gebruikersbestanden, nextcloud.log, app-gegevens |
bij voorkeur buiten de documentroot |
apps/ |
meegeleverde apps | integriteitscontrole |
custom_apps/ (afhankelijk van de installatie) |
Apps uit de App Store | onbekende of verweesde apps |
themes/ |
eigen ontwerp | vreemd JavaScript |
Ongevaarlijke controles met occ, uitgevoerd als gebruiker van de webserver:
# Status en versie weergeven
sudo -u www-data php occ status
# Core-bestanden toetsen aan de ondertekende originelen
sudo -u www-data php occ integrity:check-core
# Geïnstalleerde en actieve apps weergeven
sudo -u www-data php occ app:list
# Gebruikersaccounts weergeven
sudo -u www-data php occ user:list
De gebruikersnaam van de webserver verschilt per distributie. Meldt de integriteitscontrole gewijzigde of extra bestanden, vervang die dan niet meteen, maar maak eerst een kopie van de toestand. Alleen zo is later na te gaan wat er is gewijzigd en sinds wanneer.
De beheerinstellingen tonen onder "Overzicht" beveiligings- en installatiewaarschuwingen. Neem die serieus; ze wijzen vaak op een openbaar bereikbare data-map of ontbrekende beveiligingsheaders.
Apps, adminaccounts en deelacties
Apps uit de Nextcloud App Store breiden het platform uit met Office, formulieren, Talk of integraties. Elke app is extra PHP-code met eigen onderhoud. Verwijder apps die niemand gebruikt en controleer of alle apps bij de geïnstalleerde Nextcloud-versie passen.
Controleer de groep "admin" op onbekende leden, activeer tweestapsverificatie voor alle accounts met verhoogde rechten en controleer app-wachtwoorden en openbare deellinks. Een vreemde openbare link naar een gevoelige map is een datalek dat geen bestandsscan meldt.
Wat een Nextcloud-update wel en niet kan
Een Nextcloud-update vervangt core en meegeleverde apps en dicht daarin bekende fouten. Ze patcht PHP niet, herstart noch PHP-FPM noch cronprocessen en verwijdert geen bestanden in de data-map, geen vreemde accounts en geen gedeelde items. Ze bewijst ook niet dat er tussen 17 en 21-10-2026 niets is weggelekt. Bewaar webserver- en Nextcloud-logs vanaf 20-10-2026.
Na een vermoeden moet u bovendien sessies van desktop- en mobiele clients en app-wachtwoorden ongeldig maken, zodat alle apparaten zich opnieuw moeten aanmelden. Controleer ook gekoppelde externe opslag zoals netwerkschijven of objectopslag. De toegangsgegevens daarvan staan in Nextcloud en kunnen bij een aanval zijn meegelezen. Vernieuw deze toegangen in overleg met de betreffende verantwoordelijken.
Hoe helpt PHP SOS concreet?
- Wij controleren de web-, cron- en container-PHP van uw Nextcloud en laten patch en herstart aantonen.
- Wij maken een kopie van logs en voeren de integriteitscontrole uit, evenals een controle van apps, accounts en deelacties.
- Wij beoordelen met u of Nextcloud openbaar bereikbaar moet blijven of achter een VPN hoort.
- In het kader van de serverbeveiliging plaatsen wij de
data-map buiten de documentroot en stellen wij rechten en PHP-instellingen netjes in.
Veelgestelde vragen
Is Nextcloud getroffen door PHP2Shell?
Nextcloud draait op PHP. Is de PHP van de server niet gepatcht, dan kan een aanvaller volgens het PHP-team zonder inloggen code uitvoeren en zo bij de opgeslagen bestanden komen. Een Nextcloud-update sluit de PHP-kwetsbaarheid niet.
Beschermt de server-side-versleuteling van Nextcloud tegen PHP2Shell?
Slechts beperkt. Bij server-side-versleuteling staan de sleutels op dezelfde server. Wie daar code kan uitvoeren, kan onder omstandigheden ook bij ontsleutelde inhoud.
Hoe controleer ik of Nextcloud-bestanden zijn gewijzigd?
Met het commando occ integrity:check-core vergelijkt Nextcloud de core-bestanden met de ondertekende originelen. Opvallende resultaten moeten deskundig worden beoordeeld voordat bestanden worden vervangen.
Moet Nextcloud vanaf het internet bereikbaar zijn?
Dat hangt af van het gebruik. Is Nextcloud alleen intern nodig, dan verkleint toegang uitsluitend via VPN het aanvalsoppervlak aanzienlijk. Voor externe deelacties is dan een bewuste oplossing nodig.