# Nextcloud PHP biztonsági rés, PHP2Shell: a fájltároló védelme

> Nextcloud és PHP2Shell: a web és a cron PHP-jának ellenőrzése, a config.php és a data védelme, integritásellenőrzés occ-cel, alkalmazások átnézése.

Forrás: https://phpsos.de/hu/plattformen/nextcloud/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A Nextcloud PHP biztonsági rése, a PHP2Shell, nem a Nextcloudban van, hanem a szerver PHP-jában. Mivel a Nextcloud gyakran egy vállalkozás központi fájltárolója, egy támadás következményei különösen nagyok. Javítsa a PHP-t a webhez és a cronhoz, indítsa újra az összes folyamatot, majd ellenőrizze az integritást, a `config.php` fájlt és a `data` könyvtárat.

## Miért különösen kritikus a Nextcloud a PHP2Shell után

A Nextcloud sok vállalkozásnak, ügyvédi irodának, rendelőnek és közigazgatási szervnek szolgál saját felhőként: szerződések, személyzeti iratok, ajánlatok, projektfájlok, naptárak és kapcsolattartók. Gyakran elérhető az internetről, hogy a munkatársak úton is dolgozhassanak. A CVE-2026-109618 és a CVE-2026-109619 PHP-rések a PHP-csapat szerint lehetővé teszik kártékony kód távoli futtatását bejelentkezés nélkül.

Aki a Nextcloud-szerveren kódot futtat, bizonyos körülmények között az összes ott tárolt fájlt elolvashatja. A szerveroldali titkosítás ebben csak korlátozottan segít, mert a kulcsok ugyanazon a rendszeren vannak. Tegye fel ezért korán a kérdést, mely személyes adatok lehetnek érintettek; általános tudnivalókat a [GDPR bejelentési kötelezettség: 72 óra](https://phpsos.de/hu/compliance/dsgvo-meldepflicht-72-stunden/) kínál.

## Nextcloud PHP biztonsági rés: web, cron és konténer ellenőrzése

A Nextcloud kétféle módon használja a PHP-t. Az oldalmegnyitások és a szinkronizálás PHP-FPM-en vagy mod_php-n keresztül futnak. A háttérfeladatok ideális esetben rendszer-cronnal futnak a parancssori PHP-val, ahogy az `occ` kezelőparancs is. Mindkét útnak javítottnak kell lennie.

A PHP-verziót az adminisztrátorok a beállításokban a mellékelt monitoring alkalmazáson (serverinfo) át látják. A javított upstream verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35; a disztribúciók backportjai gyakran régebbi számot viselnek. Hogy a Nextcloud-verziója mely PHP-verziókat támogatja, azt a rendszerkövetelmények szerint a nextcloud.com dokumentációjában ellenőrizheti.

Sok Nextcloud-telepítés konténerekben fut. Ott nem segít a gazdagépen végzett csomagfrissítés, csak egy javított PHP-val rendelkező új image és a konténerek újraindítása. A részleteket a [PHP javítása Docker-konténerekben](https://phpsos.de/hu/php2shell/docker-container-patchen/) oldalon találja.

## Könyvtárak és fájlok a Nextcloudban

| Hely | Tartalom | Ellenőrzési pont |
|---|---|---|
| `config/config.php` | adatbázis-hozzáférés, `secret`, `passwordsalt`, `trusted_domains` | beszúrt kód, gyanú esetén az értékek értékelése |
| `data/` | felhasználói fájlok, `nextcloud.log`, alkalmazásadatok | ideális esetben a dokumentumgyökéren kívül |
| `apps/` | mellékelt alkalmazások | integritásellenőrzés |
| `custom_apps/` (telepítéstől függően) | az App Store alkalmazásai | ismeretlen vagy gazdátlan alkalmazások |
| `themes/` | saját dizájn | idegen JavaScript |

Veszélytelen ellenőrzések az `occ`-cel, a webszerver felhasználójaként futtatva:

```bash
# Állapot és verzió megjelenítése
sudo -u www-data php occ status
# A mag fájljainak ellenőrzése az aláírt eredetiekkel
sudo -u www-data php occ integrity:check-core
# A telepített és aktív alkalmazások megjelenítése
sudo -u www-data php occ app:list
# A felhasználói fiókok felsorolása
sudo -u www-data php occ user:list
```

A webszerver felhasználóneve disztribúciónként eltér. Ha az integritásellenőrzés módosított vagy további fájlokat jelez, ne cserélje le őket azonnal, hanem először mentse az állapotot. Csak így követhető később, mi változott és mióta.

> **Tipp:**
> Az adminisztrációs beállítások az „Áttekintés” alatt biztonsági és beállítási figyelmeztetéseket mutatnak. Vegye komolyan őket; gyakran egy nyilvánosan elérhető `data` könyvtárra vagy hiányzó biztonsági fejlécekre utalnak.

## Alkalmazások, admin-fiókok és megosztások

A Nextcloud App Store alkalmazásai az irodai csomaggal, űrlapokkal, Talkkal vagy integrációkkal bővítik a platformot. Minden alkalmazás további PHP-kód saját gondozással. Távolítsa el azokat az alkalmazásokat, amelyeket senki sem használ, és ellenőrizze, hogy minden alkalmazás illik-e a telepített Nextcloud-verzióhoz.

Ellenőrizze az „admin” csoportot ismeretlen tagok szempontjából, kapcsolja be a kétfaktoros bejelentkezést az összes emelt jogú fiókhoz, és nézze át az alkalmazásjelszavakat és a nyilvános megosztási linkeket. Egy érzékeny mappára mutató idegen nyilvános link olyan adatszivárgás, amelyet semmilyen fájlkeresés nem jelez.

## Mit tud egy Nextcloud-frissítés, és mit nem

Egy Nextcloud-frissítés lecseréli a magot és a mellékelt alkalmazásokat, és lezárja az ezekben lévő ismert hibákat. A PHP-t nem javítja, sem a PHP-FPM-et, sem a cron-folyamatokat nem indítja újra, és a `data` könyvtárból fájlokat, idegen fiókokat és megosztásokat nem távolít el. Azt sem bizonyítja, hogy 2026. 10. 17. és 21. között nem szivárgott el semmi. Őrizze meg a webszerver és a Nextcloud naplóit 2026. 10. 20-tól.

Gyanú esetén ezenfelül érvénytelenítse az asztali és mobil kliensek munkameneteit és az alkalmazásjelszavakat, hogy az összes eszköznek újra be kelljen jelentkeznie. Ellenőrizze a csatlakoztatott külső tárolókat is, például a hálózati meghajtókat vagy az objektumtárolókat. Ezek hozzáférési adatai a Nextcloudban vannak tárolva, és egy támadásnál kiolvashatták őket. Újítsa meg ezeket a hozzáféréseket az illetékesekkel egyeztetve.

## Hogyan segít konkrétan a PHP SOS?

- Ellenőrizzük a Nextcloudja web-, cron- és konténer-PHP-ját, és igazoltatjuk a javítást és az újraindítást.
- Mentjük a naplókat, és elvégezzük az integritásellenőrzést, valamint az alkalmazások, fiókok és megosztások ellenőrzését.
- Önnel együtt értékeljük, hogy a Nextcloudnak nyilvánosan elérhetőnek kell-e maradnia, vagy VPN mögé tartozik.
- A [szerver-megerősítés](https://phpsos.de/hu/leistungen/server-haertung/) keretében a `data` könyvtárat a dokumentumgyökéren kívülre helyezzük, és rendben beállítjuk a jogokat és a PHP-beállításokat.


## Gyakori kérdések

**Érinti a Nextcloudot a PHP2Shell?**  
A Nextcloud PHP-n fut. Ha a szerver PHP-ja nincs javítva, a PHP-csapat szerint egy támadó bejelentkezés nélkül futtathat kódot, és így hozzáférhet a tárolt fájlokhoz. Egy Nextcloud-frissítés nem zárja le a PHP-rést.

**Véd a Nextcloud szerveroldali titkosítása a PHP2Shell ellen?**  
Csak korlátozottan. A szerveroldali titkosításnál a kulcsok ugyanazon a szerveren vannak. Aki ott kódot tud futtatni, bizonyos körülmények között a visszafejtett tartalmakhoz is hozzáférhet.

**Hogyan ellenőrizhetem, módosultak-e a Nextcloud fájljai?**  
Az occ integrity:check-core paranccsal a Nextcloud összeveti a mag fájljait az aláírt eredetiekkel. A feltűnő eredményeket szakszerűen ki kell értékelni, mielőtt fájlokat cserélnének.

**Elérhetőnek kell lennie a Nextcloudnak az internetről?**  
Ez a használattól függ. Ha a Nextcloudra csak belsőleg van szükség, a kizárólag VPN-en keresztüli hozzáférés jelentősen csökkenti a támadási felületet. A külső megosztásokhoz ilyenkor tudatos megoldás kell.

## Források

- [php.net: biztonsági közlemények](https://www.php.net/)
- [Nextcloud](https://nextcloud.com/)
- [BSI (a német Szövetségi Információbiztonsági Hivatal)](https://www.bsi.bund.de/)
- [GDPR 33. cikk](https://dsgvo-gesetz.de/art-33-dsgvo/)