Na kratko: Ranljivost PHP2Shell v Nextcloud ni v Nextcloud, ampak v PHP na strežniku. Ker je Nextcloud pogosto osrednje datotečno skladišče podjetja, so posledice napada še posebej velike. Popravite PHP za splet in cron, znova zaženite vse procese, nato pa preverite celovitost, config.php in mapo data.
Zakaj je Nextcloud po PHP2Shell posebej kritičen
Nextcloud številnim podjetjem, odvetniškim pisarnam, ordinacijam in upravam služi kot lasten oblak: pogodbe, kadrovska dokumentacija, ponudbe, projektne datoteke, koledarji in stiki. Pogosto je dosegljiv z interneta, da lahko sodelavci delajo na poti. Ranljivosti PHP CVE-2026-109618 in CVE-2026-109619 po navedbah ekipe PHP omogočata izvajanje škodljive kode na daljavo brez prijave.
Kdor na strežniku Nextcloud izvaja kodo, lahko pod določenimi pogoji prebere vse tam shranjene datoteke. Šifriranje na strani strežnika pri tem pomaga le omejeno, ker so ključi na istem sistemu. Zato si zgodaj zastavite vprašanje, kateri osebni podatki bi lahko bili prizadeti; splošne napotke nudi prispevek Obveznost prijave po GDPR: 72 ur.
Ranljivost PHP v Nextcloud: preverite splet, cron in container
Nextcloud uporablja PHP po dveh poteh. Klici strani in sinhronizacija tečejo prek PHP-FPM ali mod_php. Opravila v ozadju idealno tečejo prek sistemskega crona s PHP v ukazni vrstici, enako upravljalni ukaz occ. Obe poti morata biti popravljeni.
Različico PHP skrbniki vidijo v skrbniških nastavitvah prek priložene aplikacije za nadzor (serverinfo). Odpravljene različice izvorne kode so 8.5.12, 8.4.27, 8.3.36 in 8.2.35; backporti distribucij pogosto nosijo starejše številke. Katere različice PHP podpira vaša različica Nextcloud, preverite v sistemskih zahtevah v dokumentaciji na nextcloud.com.
Številne namestitve Nextcloud tečejo v containerjih. Tam ne pomaga posodobitev paketa na gostitelju, ampak samo nova slika s popravljenim PHP in ponovni zagon containerjev. Podrobnosti so v prispevku Popravljanje PHP v containerjih Docker.
Mape in datoteke v Nextcloud
| Mesto | Vsebina | Točka preverjanja |
|---|---|---|
config/config.php |
Dostop do podatkovne zbirke, secret, passwordsalt, trusted_domains |
Vstavljena koda, vrednosti ob sumu oceniti |
data/ |
Datoteke uporabnikov, nextcloud.log, podatki aplikacij |
Idealno zunaj korenske mape dokumentov |
apps/ |
Priložene aplikacije | Preverjanje celovitosti |
custom_apps/ (glede na namestitev) |
Aplikacije iz App Store | Neznane ali osirotele aplikacije |
themes/ |
Lastna podoba | Tuj JavaScript |
Neškodljivi pregledi z occ, izvedeni kot uporabnik spletnega strežnika:
# Prikaži stanje in različico
sudo -u www-data php occ status
# Preveri datoteke jedra glede na podpisane izvirnike
sudo -u www-data php occ integrity:check-core
# Prikaži nameščene in aktivne aplikacije
sudo -u www-data php occ app:list
# Izpiši uporabniške račune
sudo -u www-data php occ user:list
Uporabniško ime spletnega strežnika se razlikuje glede na distribucijo. Če preverjanje celovitosti javi spremenjene ali dodatne datoteke, jih ne zamenjajte takoj, ampak najprej zavarujte stanje. Samo tako je pozneje mogoče razbrati, kaj je bilo spremenjeno in od kdaj.
Skrbniške nastavitve pod »Pregled« prikazujejo varnostna opozorila in opozorila o nastavitvah. Vzemite jih resno; pogosto opozarjajo na javno dosegljivo mapo data ali manjkajoče varnostne glave.
Aplikacije, skrbniški računi in souporabe
Aplikacije iz Nextcloud App Store platformo razširjajo z pisarno, obrazci, Talk ali integracijami. Vsaka aplikacija je dodatna koda PHP z lastnim vzdrževanjem. Odstranite aplikacije, ki jih nihče ne uporablja, in preverite, ali vse aplikacije ustrezajo nameščeni različici Nextcloud.
V skupini »admin« poiščite neznane člane, vklopite dvofaktorsko prijavo za vse račune z visokimi pravicami ter nadzorujte gesla aplikacij in javne povezave za souporabo. Tuja javna povezava na občutljivo mapo je uhajanje podatkov, ki ga nobeno skeniranje datotek ne javi.
Kaj posodobitev Nextcloud zmore in česa ne
Posodobitev Nextcloud zamenja jedro in priložene aplikacije ter zapre znane napake v njih. PHP ne popravi, ne zažene znova ne PHP-FPM ne procesov cron ter ne odstrani datotek v mapi data, tujih računov in souporab. Tudi ne dokazuje, da med 17. in 21. 10. 2026 ni nič iztekla. Dnevnike spletnega strežnika in Nextcloud hranite od 20. 10. 2026.
Ob sumu naj se poleg tega razveljavijo seje odjemalcev za namizje in mobilne naprave ter gesla aplikacij, da se morajo vse naprave znova prijaviti. Preverite tudi priključena zunanja skladišča, kot so omrežni pogoni ali objektna skladišča. Njihovi dostopni podatki so shranjeni v Nextcloud in so jih lahko pri napadu prebrali. Te dostope obnovite v dogovoru z odgovornimi.
Kako PHP SOS pomaga konkretno?
- Preverimo PHP za splet, cron in container vašega Nextcloud ter zagotovimo dokazilo o popravku in ponovnem zagonu.
- Dnevnike zavarujemo ter izvedemo preverjanje celovitosti in nadzor aplikacij, računov in souporab.
- Z vami ocenimo, ali mora Nextcloud ostati javno dosegljiv ali sodi za VPN.
- V okviru utrjevanja strežnika mapo
dataodložimo zunaj korenske mape dokumentov ter čisto nastavimo pravice in nastavitve PHP.
Pogosta vprašanja
Ali je Nextcloud prizadet zaradi PHP2Shell?
Nextcloud teče na PHP. Če PHP na strežniku ni popravljen, lahko napadalec po navedbah ekipe PHP izvede kodo brez prijave in tako dostopa do shranjenih datotek. Posodobitev Nextcloud ranljivosti PHP ne zapre.
Ali šifriranje na strani strežnika v Nextcloud ščiti pred PHP2Shell?
Le omejeno. Pri šifriranju na strani strežnika so ključi na istem strežniku. Kdor tam lahko izvede kodo, lahko pod določenimi pogoji dostopa tudi do dešifriranih vsebin.
Kako preverim, ali so bile datoteke Nextcloud spremenjene?
Z ukazom occ integrity:check-core Nextcloud primerja datoteke jedra s podpisanimi izvirniki. Opazne rezultate je treba strokovno oceniti, preden se datoteke zamenjajo.
Ali naj bo Nextcloud dosegljiv z interneta?
To je odvisno od uporabe. Če se Nextcloud uporablja samo interno, dostop izključno prek VPN občutno zmanjša napadalno površino. Za zunanje souporabe potrebujete zavestno rešitev.