Em resumo: a vulnerabilidade PHP2Shell no Nextcloud não está no Nextcloud, mas no PHP do servidor. Como o Nextcloud é muitas vezes o repositório central de ficheiros de uma empresa, as consequências de um ataque são particularmente graves. Aplique o patch ao PHP para web e cron, reinicie todos os processos e verifique depois a integridade, o config.php e o diretório data.
Porque é que o Nextcloud é particularmente crítico após o PHP2Shell
O Nextcloud serve a muitas empresas, escritórios de advogados, consultórios e administrações como nuvem própria: contratos, documentos de pessoal, propostas, ficheiros de projetos, calendários e contactos. Muitas vezes é acessível a partir da Internet, para que os colaboradores possam trabalhar em deslocação. Segundo a equipa do PHP, as vulnerabilidades PHP CVE-2026-109618 e CVE-2026-109619 permitem executar código malicioso remotamente sem autenticação.
Quem executa código no servidor Nextcloud pode, em certas circunstâncias, ler todos os ficheiros aí guardados. A encriptação do lado do servidor ajuda pouco nesse caso, porque as chaves estão no mesmo sistema. Coloque, por isso, cedo a pergunta sobre que dados pessoais podem estar afetados; indicações gerais oferece o Dever de notificação do RGPD: 72 horas.
Vulnerabilidade PHP no Nextcloud: verificar web, cron e contentores
O Nextcloud usa o PHP de duas formas. Os acessos às páginas e a sincronização correm via PHP-FPM ou mod_php. As tarefas em segundo plano correm idealmente por cron do sistema com o PHP da linha de comandos, tal como o comando de administração occ. Ambos os caminhos têm de ter o patch aplicado.
Os administradores veem a versão do PHP nas definições de administração, através da app de monitorização fornecida (serverinfo). As versões upstream corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35; os backports das distribuições têm muitas vezes números mais antigos. Quais as versões do PHP que a sua versão do Nextcloud suporta, verifique-o nos requisitos de sistema da documentação em nextcloud.com.
Muitas instalações do Nextcloud correm em contentores. Aí não ajuda uma atualização de pacotes no anfitrião, mas apenas uma nova imagem com PHP com patch e o reinício dos contentores. Os pormenores estão em Aplicar patches ao PHP em contentores Docker.
Pastas e ficheiros no Nextcloud
| Local | Conteúdo | Ponto de verificação |
|---|---|---|
config/config.php |
Acesso à base de dados, secret, passwordsalt, trusted_domains |
Código inserido, avaliar os valores em caso de suspeita |
data/ |
Ficheiros dos utilizadores, nextcloud.log, dados das apps |
Idealmente fora da raiz de documentos |
apps/ |
Apps fornecidas | Verificação de integridade |
custom_apps/ (consoante a instalação) |
Apps da App Store | Apps desconhecidas ou órfãs |
themes/ |
Design próprio | JavaScript alheio |
Verificações inofensivas com occ, executadas como utilizador do servidor web:
# Mostrar estado e versão
sudo -u www-data php occ status
# Verificar os ficheiros do núcleo contra os originais assinados
sudo -u www-data php occ integrity:check-core
# Mostrar as apps instaladas e ativas
sudo -u www-data php occ app:list
# Listar as contas de utilizador
sudo -u www-data php occ user:list
O nome de utilizador do servidor web difere consoante a distribuição. Se a verificação de integridade assinalar ficheiros alterados ou adicionais, não os substitua de imediato, mas guarde primeiro o estado. Só assim se poderá mais tarde reconstituir o que foi alterado e desde quando.
As definições de administração mostram, em «Vista geral», avisos de segurança e de configuração. Leve-os a sério; apontam muitas vezes para um diretório data acessível publicamente ou para cabeçalhos de segurança em falta.
Apps, contas de administrador e partilhas
As apps da Nextcloud App Store ampliam a plataforma com Office, formulários, Talk ou integrações. Cada app é código PHP adicional com manutenção própria. Remova as apps que ninguém usa e verifique se todas as apps são compatíveis com a versão instalada do Nextcloud.
Verifique o grupo «admin» quanto a membros desconhecidos, ative a autenticação de dois fatores para todas as contas com direitos elevados e controle as palavras-passe de app e as ligações de partilha pública. Uma ligação pública alheia para uma pasta sensível é uma fuga de dados que nenhuma análise de ficheiros assinala.
O que uma atualização do Nextcloud consegue e o que não consegue
Uma atualização do Nextcloud substitui o núcleo e as apps fornecidas e corrige falhas conhecidas nelas. Não aplica patch ao PHP, não reinicia nem o PHP-FPM nem os processos cron e não remove ficheiros do diretório data, contas alheias nem partilhas. Também não prova que, entre 17 e 21 de outubro de 2026, nada tenha saído. Conserve os registos do servidor web e do Nextcloud a partir de 20/10/2026.
Perante uma suspeita, deve ainda invalidar as sessões dos clientes de desktop e móveis, bem como as palavras-passe de app, para que todos os dispositivos tenham de iniciar sessão de novo. Verifique também os armazenamentos externos ligados, como unidades de rede ou armazenamento de objetos. As suas credenciais estão guardadas no Nextcloud e podem ter sido lidas durante um ataque. Renove esses acessos em articulação com os respetivos responsáveis.
Como ajuda concretamente a PHP SOS?
- Verificamos o PHP web, cron e de contentores do seu Nextcloud e fazemos comprovar o patch e o reinício.
- Guardamos registos e efetuamos a verificação de integridade, bem como o controlo de apps, contas e partilhas.
- Avaliamos consigo se o Nextcloud tem de continuar acessível publicamente ou se pertence atrás de uma VPN.
- No âmbito do reforço do servidor, colocamos o diretório
datafora da raiz de documentos e acertamos direitos e definições do PHP.
Perguntas frequentes
O Nextcloud é afetado pelo PHP2Shell?
O Nextcloud corre em PHP. Se o PHP do servidor não tiver o patch aplicado, um atacante pode, segundo a equipa do PHP, executar código sem autenticação e assim aceder aos ficheiros guardados. Uma atualização do Nextcloud não corrige a falha do PHP.
A encriptação do lado do servidor do Nextcloud protege contra o PHP2Shell?
Só de forma limitada. Na encriptação do lado do servidor, as chaves estão no mesmo servidor. Quem aí consegue executar código pode, em certas circunstâncias, aceder também aos conteúdos desencriptados.
Como verifico se os ficheiros do Nextcloud foram alterados?
Com o comando occ integrity:check-core, o Nextcloud compara os ficheiros do núcleo com os originais assinados. Os resultados invulgares devem ser avaliados por especialistas antes de se substituírem ficheiros.
O Nextcloud deve ser acessível a partir da Internet?
Depende da utilização. Se o Nextcloud só for necessário internamente, um acesso exclusivamente por VPN reduz claramente a superfície de ataque. Para partilhas externas é então necessária uma solução ponderada.