Lühidalt: Nextcloudi PHP turvaauk PHP2Shell ei asu Nextcloudis, vaid serveri PHP-s. Kuna Nextcloud on sageli ettevõtte keskne failihoidla, on rünnaku tagajärjed eriti suured. Paigake PHP veebi ja croni jaoks, taaskäivitage kõik protsessid ning kontrollige seejärel terviklust, faili config.php ja kataloogi data.
Miks Nextcloud on pärast PHP2Shelli eriti kriitiline
Nextcloud on paljudele ettevõtetele, advokaadibüroodele, praksistele ja asutustele oma pilv: lepingud, personalidokumendid, pakkumised, projektifailid, kalendrid ja kontaktid. Sageli on see internetist kättesaadav, et töötajad saaksid liikvel olles töötada. PHP turvaaugud CVE-2026-109618 ja CVE-2026-109619 võimaldavad PHP meeskonna andmetel kahjuliku koodi kaugkäivitamist ilma sisselogimiseta.
Kes Nextcloudi serveris koodi käivitab, võib teatud tingimustel lugeda kõiki seal salvestatud faile. Serveripoolne krüpteerimine aitab siin vaid piiratult, sest võtmed asuvad samas süsteemis. Küsige seetõttu varakult, millised isikuandmed võivad olla mõjutatud; üldist teavet pakub leht IKÜM-i teavitamiskohustus: 72 tundi.
Nextcloudi PHP turvaauk: veebi, croni ja konteinerite kontrollimine
Nextcloud kasutab PHP-d kahel viisil. Lehepäringud ja sünkroonimine töötavad PHP-FPM-i või mod_php kaudu. Taustaülesanded töötavad ideaalis süsteemi cron-töö kaudu käsurea PHP-ga, samuti haldamiskäsk occ. Mõlemad teed peavad olema paigatud.
PHP versiooni näevad administraatorid haldussätetes kaasatoodud monitooringurakenduse (serverinfo) kaudu. Upstream'i parandatud versioonid on 8.5.12, 8.4.27, 8.3.36 ja 8.2.35; distributsioonide tagasiportimised (backport) kannavad sageli vanemaid numbreid. Milliseid PHP versioone teie Nextcloudi versioon toetab, kontrollige süsteeminõuete järgi dokumentatsioonis lehel nextcloud.com.
Paljud Nextcloudi paigaldused töötavad konteinerites. Seal ei aita hostil pakettide uuendus, vaid ainult uus tõmmis paigatud PHP-ga ja konteinerite taaskäivitus. Üksikasjad leiate lehelt PHP paikamine Dockeri konteinerites.
Kataloogid ja failid Nextcloudis
| Koht | Sisu | Kontrollpunkt |
|---|---|---|
config/config.php |
Andmebaasi ligipääs, secret, passwordsalt, trusted_domains |
Sissetoodud kood, väärtusi kahtluse korral hinnata |
data/ |
Kasutajafailid, nextcloud.log, rakenduste andmed |
Ideaalis väljaspool dokumendijuurt |
apps/ |
Kaasatoodud rakendused | Terviklusekontroll |
custom_apps/ (olenevalt paigaldusest) |
App Store'i rakendused | Tundmatud või hüljatud rakendused |
themes/ |
Oma kujundus | Võõras JavaScript |
Ohutud kontrollid käsuga occ, käivitatud veebiserveri kasutajana:
# Oleku ja versiooni kuvamine
sudo -u www-data php occ status
# Tuumikufailide kontroll allkirjastatud originaalide vastu
sudo -u www-data php occ integrity:check-core
# Paigaldatud ja aktiivsete rakenduste kuvamine
sudo -u www-data php occ app:list
# Kasutajakontode loetlemine
sudo -u www-data php occ user:list
Veebiserveri kasutajanimi erineb olenevalt distributsioonist. Kui terviklusekontroll teatab muudetud või lisafailidest, ärge asendage neid kohe, vaid varundage esmalt seis. Ainult nii saab hiljem jälgida, mida muudeti ja millest alates.
Haldussätted näitavad jaotises „Ülevaade“ turva- ja seadistushoiatusi. Võtke neid tõsiselt; need viitavad sageli avalikult kättesaadavale kataloogile data või puuduvatele turvapäistele.
Rakendused, admin-kontod ja jagamised
Nextcloud App Store'i rakendused laiendavad platvormi kontori, vormide, Talki või integratsioonidega. Iga rakendus on lisa-PHP kood oma hooldusega. Eemaldage rakendused, mida keegi ei kasuta, ja kontrollige, kas kõik rakendused sobivad paigaldatud Nextcloudi versiooniga.
Kontrollige gruppi „admin“ tundmatute liikmete suhtes, aktiveerige kaheastmeline autentimine kõigile kõrgendatud õigustega kontodele ning kontrollige rakenduse paroole ja avalikke jagamislinke. Võõras avalik link tundlikule kaustale on andmeleke, mida ükski failiskaneering ei teata.
Mida Nextcloudi uuendus suudab ja mida mitte
Nextcloudi uuendus asendab tuumiku ja kaasatoodud rakendused ning sulgeb neis teadaolevad vead. See ei paiga PHP-d, ei taaskäivita PHP-FPM-i ega cron-protsesse ning ei eemalda faile kataloogist data, võõraid kontosid ega jagamisi. See ei tõenda ka, et ajavahemikus 17. kuni 21.10.2026 midagi ei lekkinud. Säilitage veebiserveri ja Nextcloudi logid alates 20.10.2026.
Kahtluse korral peaksite lisaks muutma kehtetuks töölaua- ja mobiiliklientide sessioonid ning rakenduse paroolid, et kõik seadmed peaksid uuesti sisse logima. Kontrollige ka ühendatud välissalvestusi, nagu võrgukettad või objektihoidlad. Nende ligipääsuandmed on Nextcloudis salvestatud ja võisid rünnaku korral kaasa loetud olla. Uuendage need ligipääsud kokkuleppel vastavate vastutajatega.
Kuidas PHP SOS konkreetselt aitab?
- Kontrollime teie Nextcloudi veebi-, croni- ja konteineri-PHP-d ning laseme paigatud ja taaskäivituse tõendada.
- Varundame logid ning teeme terviklusekontrolli ja rakenduste, kontode ja jagamiste kontrolli.
- Hindame koos teiega, kas Nextcloud peab avalikult kättesaadavaks jääma või kuulub VPN-i taha.
- Serveri karastamise raames paigutame kataloogi
dataväljaspool dokumendijuurt ning seadistame õigused ja PHP sätted korrektselt.
Korduma kippuvad küsimused
Kas Nextcloud on PHP2Shellist mõjutatud?
Nextcloud töötab PHP peal. Kui serveri PHP ei ole paigatud, võib ründaja PHP meeskonna andmetel koodi käivitada ilma sisselogimiseta ja pääseda ligi salvestatud failidele. Nextcloudi uuendus PHP turvaauku ei sulge.
Kas Nextcloudi serveripoolne krüpteerimine kaitseb PHP2Shelli eest?
Ainult piiratult. Serveripoolse krüpteerimise puhul asuvad võtmed samas serveris. Kes saab seal koodi käivitada, võib teatud tingimustel pääseda ligi ka dekrüpteeritud sisule.
Kuidas ma kontrollin, kas Nextcloudi faile on muudetud?
Käsuga occ integrity:check-core võrdleb Nextcloud tuumikufaile allkirjastatud originaalidega. Silmatorkavaid tulemusi tuleks asjatundlikult hinnata, enne kui faile asendatakse.
Kas Nextcloud peaks olema internetist kättesaadav?
See sõltub kasutusest. Kui Nextcloudi vajatakse ainult sisemiselt, vähendab ligipääs ainult VPN-i kaudu ründepinda oluliselt. Väliste jagamiste jaoks on siis vaja teadlikku lahendust.