Krótko: Luka bezpieczeństwa PHP2Shell w Nextcloud tkwi nie w Nextcloud, lecz w PHP serwera. Ponieważ Nextcloud jest często centralnym miejscem składowania plików firmy, skutki ataku są szczególnie duże. Proszę załatać PHP dla WWW i crona, zrestartować wszystkie procesy, a następnie sprawdzić integralność, config.php i katalog data.
Dlaczego Nextcloud jest po PHP2Shell szczególnie krytyczny
Nextcloud służy wielu firmom, kancelariom, praktykom lekarskim i administracjom jako własna chmura: umowy, dokumenty osobowe, oferty, pliki projektów, kalendarze i kontakty. Często jest osiągalny z internetu, aby pracownicy mogli pracować w terenie. Luki PHP CVE-2026-109618 i CVE-2026-109619 umożliwiają według zespołu PHP zdalne wykonanie złośliwego kodu bez logowania.
Kto wykonuje kod na serwerze Nextcloud, może w pewnych okolicznościach odczytać wszystkie przechowywane tam pliki. Szyfrowanie po stronie serwera pomaga tu tylko w ograniczonym stopniu, ponieważ klucze znajdują się w tym samym systemie. Proszę dlatego wcześnie zadać sobie pytanie, jakich danych osobowych może to dotyczyć; ogólne wskazówki podaje artykuł Obowiązek zgłoszenia naruszenia RODO: 72 godziny.
Luka bezpieczeństwa PHP w Nextcloud: sprawdzanie WWW, crona i kontenerów
Nextcloud używa PHP na dwa sposoby. Wywołania stron i synchronizacja działają przez PHP-FPM lub mod_php. Zadania w tle działają najlepiej przez systemowy cron z PHP wiersza poleceń, podobnie jak polecenie administracyjne occ. Obie ścieżki muszą być załatane.
Wersję PHP widzą administratorzy w ustawieniach administracyjnych dzięki dołączonej aplikacji monitorującej (serverinfo). Naprawione wersje upstream to 8.5.12, 8.4.27, 8.3.36 i 8.2.35; backporty dystrybucji noszą często starsze numery. To, które wersje PHP obsługuje Państwa wersja Nextcloud, można sprawdzić w wymaganiach systemowych w dokumentacji na nextcloud.com.
Wiele instalacji Nextcloud działa w kontenerach. Tam nie pomaga aktualizacja pakietów na hoście, lecz tylko nowy obraz z załatanym PHP i restart kontenerów. Szczegóły w artykule Łatanie PHP w kontenerach Docker.
Katalogi i pliki w Nextcloud
| Miejsce | Zawartość | Punkt kontroli |
|---|---|---|
config/config.php |
Dane dostępowe do bazy danych, secret, passwordsalt, trusted_domains |
Dopisany kod, wartości po podejrzeniu ocenić |
data/ |
Pliki użytkowników, nextcloud.log, dane aplikacji |
Najlepiej poza katalogiem głównym dokumentów |
apps/ |
Dołączone aplikacje | Kontrola integralności |
custom_apps/ (zależnie od instalacji) |
Aplikacje z App Store | Nieznane lub osierocone aplikacje |
themes/ |
Własny wygląd | Obcy JavaScript |
Bezpieczne kontrole za pomocą occ, uruchamiane jako użytkownik serwera WWW:
# Wyświetlenie statusu i wersji
sudo -u www-data php occ status
# Sprawdzenie plików rdzenia z podpisanymi oryginałami
sudo -u www-data php occ integrity:check-core
# Wyświetlenie zainstalowanych i aktywnych aplikacji
sudo -u www-data php occ app:list
# Wypisanie kont użytkowników
sudo -u www-data php occ user:list
Nazwa użytkownika serwera WWW różni się zależnie od dystrybucji. Jeśli kontrola integralności zgłasza zmienione lub dodatkowe pliki, proszę ich nie zastępować od razu, lecz najpierw zabezpieczyć stan. Tylko tak można później ustalić, co zostało zmienione i od kiedy.
Ustawienia administracyjne pokazują w „Przeglądzie” ostrzeżenia dotyczące bezpieczeństwa i konfiguracji. Proszę traktować je poważnie; często wskazują na publicznie dostępny katalog data lub brakujące nagłówki bezpieczeństwa.
Aplikacje, konta admina i udostępnienia
Aplikacje z Nextcloud App Store rozszerzają platformę o biuro, formularze, Talk lub integracje. Każda aplikacja to dodatkowy kod PHP z własną opieką. Proszę usunąć aplikacje, z których nikt nie korzysta, i sprawdzić, czy wszystkie pasują do zainstalowanej wersji Nextcloud.
Proszę sprawdzić grupę „admin” pod kątem nieznanych członków, włączyć uwierzytelnianie dwuskładnikowe dla wszystkich kont z podwyższonymi uprawnieniami oraz skontrolować hasła aplikacji i publiczne linki udostępnień. Obcy publiczny link do wrażliwego folderu to wyciek danych, którego nie zgłosi żadne skanowanie plików.
Co potrafi aktualizacja Nextcloud, a czego nie
Aktualizacja Nextcloud zastępuje rdzeń i dołączone aplikacje i zamyka w nich znane błędy. Nie łata PHP, nie restartuje ani PHP-FPM, ani procesów crona i nie usuwa plików w katalogu data, obcych kont ani udostępnień. Nie dowodzi też, że między 17 a 21.10.2026 nic nie wyciekło. Proszę zachować logi serwera WWW i Nextcloud od 20.10.2026.
W razie podejrzenia należy ponadto unieważnić sesje klientów desktopowych i mobilnych oraz hasła aplikacji, aby wszystkie urządzenia musiały zalogować się ponownie. Proszę sprawdzić także podłączone zewnętrzne magazyny, takie jak dyski sieciowe czy magazyny obiektów. Ich dane dostępowe są zapisane w Nextcloud i podczas ataku mogły zostać odczytane. Dostępy te należy odnowić w uzgodnieniu z odpowiedzialnymi osobami.
Jak konkretnie pomaga PHP SOS?
- Sprawdzamy PHP WWW, crona i kontenerów Państwa Nextcloud oraz prosimy o udokumentowanie poprawki i restartu.
- Zabezpieczamy logi oraz przeprowadzamy kontrolę integralności i kontrolę aplikacji, kont i udostępnień.
- Oceniamy wspólnie z Państwem, czy Nextcloud musi pozostać publicznie osiągalny, czy powinien znaleźć się za VPN.
- W ramach utwardzania serwera umieszczamy katalog
datapoza katalogiem głównym dokumentów oraz prawidłowo ustawiamy prawa i ustawienia PHP.
Częste pytania
Czy Nextcloud jest dotknięty przez PHP2Shell?
Nextcloud działa na PHP. Jeśli PHP serwera nie jest załatane, atakujący może według zespołu PHP wykonać kod bez logowania, a tym samym uzyskać dostęp do zapisanych plików. Aktualizacja Nextcloud nie zamyka luki w PHP.
Czy szyfrowanie po stronie serwera w Nextcloud chroni przed PHP2Shell?
Tylko w ograniczonym stopniu. Przy szyfrowaniu po stronie serwera klucze znajdują się na tym samym serwerze. Kto może tam wykonywać kod, może w pewnych okolicznościach uzyskać także dostęp do odszyfrowanych treści.
Jak sprawdzić, czy pliki Nextcloud zostały zmienione?
Poleceniem occ integrity:check-core Nextcloud porównuje pliki rdzenia z podpisanymi oryginałami. Niepokojące wyniki należy ocenić fachowo, zanim pliki zostaną zastąpione.
Czy Nextcloud powinien być osiągalny z internetu?
To zależy od sposobu użycia. Jeśli Nextcloud jest potrzebny tylko wewnętrznie, dostęp wyłącznie przez VPN wyraźnie zmniejsza powierzchnię ataku. Do udostępnień zewnętrznych potrzebne jest wtedy świadome rozwiązanie.