Pe scurt: Vulnerabilitatea PHP2Shell din Nextcloud nu se află în Nextcloud, ci în PHP-ul serverului. Deoarece Nextcloud este adesea stocarea centrală de fișiere a unei companii, consecințele unui atac sunt deosebit de mari. Aplicați patchul PHP pentru web și cron, reporniți toate procesele și verificați apoi integritatea, config.php și directorul data.
De ce Nextcloud este deosebit de critic după PHP2Shell
Nextcloud servește multor companii, birouri de avocatură, cabinete și administrații drept cloud propriu: contracte, documente de personal, oferte, fișiere de proiect, calendare și contacte. Adesea este accesibil din internet, pentru ca angajații să poată lucra din deplasare. Potrivit echipei PHP, vulnerabilitățile PHP CVE-2026-109618 și CVE-2026-109619 permit execuția de cod malițios la distanță, fără autentificare.
Cine execută cod pe serverul Nextcloud poate, în anumite circumstanțe, să citească toate fișierele stocate acolo. Criptarea pe partea de server ajută aici doar limitat, deoarece cheile se află pe același sistem. Puneți-vă, de aceea, din timp întrebarea ce date cu caracter personal ar putea fi afectate; indicații generale oferă Obligația de notificare RGPD: 72 de ore.
Vulnerabilitatea PHP din Nextcloud: verificarea web, cron și containere
Nextcloud folosește PHP pe două căi. Accesările de pagini și sincronizarea rulează prin PHP-FPM sau mod_php. Sarcinile de fundal rulează ideal prin cron de sistem cu PHP-ul din linia de comandă, la fel ca și comanda de administrare occ. Ambele căi trebuie să aibă patchul aplicat.
Administratorii văd versiunea PHP în setările de administrare, prin aplicația de monitorizare livrată (serverinfo). Versiunile upstream remediate sunt 8.5.12, 8.4.27, 8.3.36 și 8.2.35; backporturile distribuțiilor poartă adesea numere mai vechi. Ce versiuni PHP sunt acceptate de versiunea dumneavoastră de Nextcloud verificați conform cerințelor de sistem din documentația de pe nextcloud.com.
Multe instalări Nextcloud rulează în containere. Acolo nu ajută o actualizare de pachet pe gazdă, ci doar o imagine nouă cu PHP cu patch aplicat și o repornire a containerelor. Detalii găsiți la Aplicarea patchului PHP în containerele Docker.
Directoare și fișiere în Nextcloud
| Loc | Conținut | Punct de verificare |
|---|---|---|
config/config.php |
Accesul la baza de date, secret, passwordsalt, trusted_domains |
Cod strecurat, evaluați valorile în caz de suspiciune |
data/ |
Fișierele utilizatorilor, nextcloud.log, date ale aplicațiilor |
Ideal în afara rădăcinii documentelor |
apps/ |
Aplicații livrate | Verificarea integrității |
custom_apps/ (în funcție de instalare) |
Aplicații din App Store | Aplicații necunoscute sau orfane |
themes/ |
Design propriu | JavaScript străin |
Verificări inofensive cu occ, executate ca utilizator al serverului web:
# Afișarea stării și a versiunii
sudo -u www-data php occ status
# Verificarea fișierelor nucleului față de originalele semnate
sudo -u www-data php occ integrity:check-core
# Afișarea aplicațiilor instalate și active
sudo -u www-data php occ app:list
# Listarea conturilor de utilizator
sudo -u www-data php occ user:list
Numele de utilizator al serverului web diferă în funcție de distribuție. Dacă verificarea integrității raportează fișiere modificate sau suplimentare, nu le înlocuiți imediat, ci salvați mai întâi starea. Doar așa se poate stabili ulterior ce a fost modificat și de când.
Setările de administrare arată, la „Prezentare generală”, avertismente de securitate și de configurare. Luați-le în serios; ele indică adesea un director data accesibil public sau antete de securitate lipsă.
Aplicații, conturi de admin și partajări
Aplicațiile din Nextcloud App Store extind platforma cu Office, formulare, Talk sau integrări. Fiecare aplicație este cod PHP suplimentar, cu întreținere proprie. Eliminați aplicațiile pe care nu le folosește nimeni și verificați dacă toate aplicațiile se potrivesc cu versiunea de Nextcloud instalată.
Verificați grupul „admin” pentru membri necunoscuți, activați autentificarea în doi pași pentru toate conturile cu drepturi ridicate și controlați parolele de aplicație și linkurile publice de partajare. Un link public străin către un dosar sensibil este o scurgere de date pe care nicio scanare de fișiere nu o raportează.
Ce poate și ce nu poate o actualizare Nextcloud
O actualizare Nextcloud înlocuiește nucleul și aplicațiile livrate și închide erorile cunoscute din ele. Ea nu aplică patchul PHP, nu repornește nici PHP-FPM, nici procesele cron și nu elimină fișiere din directorul data, conturi străine sau partajări. Nu dovedește nici că între 17 și 21.10.2026 nu s-a scurs nimic. Păstrați jurnalele serverului web și ale Nextcloud începând cu 20.10.2026.
În caz de suspiciune, ar trebui să invalidați, în plus, sesiunile clienților desktop și mobil, precum și parolele de aplicație, pentru ca toate dispozitivele să trebuiască să se autentifice din nou. Verificați și stocările externe conectate, precum unitățile de rețea sau stocarea de obiecte. Datele lor de acces sunt păstrate în Nextcloud și pot fi citite în cadrul unui atac. Reînnoiți aceste accesuri în acord cu responsabilii respectivi.
Cum ajută PHP SOS concret?
- Verificăm PHP-ul web, cron și de container al Nextcloud-ului dumneavoastră și punem să fie dovedite patchul și repornirea.
- Salvăm jurnalele și efectuăm verificarea integrității, precum și controlul aplicațiilor, conturilor și partajărilor.
- Evaluăm împreună cu dumneavoastră dacă Nextcloud trebuie să rămână accesibil public sau aparține în spatele unui VPN.
- În cadrul securizării serverului, mutăm directorul
dataîn afara rădăcinii documentelor și stabilim corect drepturile și setările PHP.
Întrebări frecvente
Este Nextcloud afectat de PHP2Shell?
Nextcloud rulează pe PHP. Dacă PHP-ul serverului nu are patchul aplicat, un atacator poate, potrivit echipei PHP, să execute cod fără autentificare și să acceseze astfel fișierele stocate. O actualizare Nextcloud nu închide vulnerabilitatea PHP.
Protejează criptarea pe partea de server din Nextcloud împotriva PHP2Shell?
Doar într-o măsură limitată. La criptarea pe partea de server, cheile se află pe același server. Cine poate executa cod acolo poate, în anumite circumstanțe, să acceseze și conținutul decriptat.
Cum verific dacă fișierele Nextcloud au fost modificate?
Cu comanda occ integrity:check-core, Nextcloud compară fișierele nucleului cu originalele semnate. Rezultatele neobișnuite ar trebui evaluate de specialiști înainte ca fișierele să fie înlocuite.
Ar trebui ca Nextcloud să fie accesibil din internet?
Depinde de utilizare. Dacă Nextcloud este necesar doar intern, un acces exclusiv prin VPN reduce considerabil suprafața de atac. Pentru partajări externe este nevoie atunci de o soluție aleasă conștient.