Stručne: Zraniteľnosť PHP2Shell sa v Nextcloude netýka Nextcloudu, ale PHP servera. Keďže Nextcloud je často centrálne úložisko súborov firmy, následky útoku sú obzvlášť veľké. Záplatujte PHP pre web aj cron, reštartujte všetky procesy a potom skontrolujte integritu, config.php a adresár data.
Prečo je Nextcloud po PHP2Shell obzvlášť kritický
Nextcloud slúži mnohým firmám, advokátskym kanceláriám, ambulanciám a správam ako vlastný cloud: zmluvy, personálne dokumenty, ponuky, projektové súbory, kalendáre a kontakty. Často je dostupný z internetu, aby mohli zamestnanci pracovať na cestách. Zraniteľnosti PHP CVE-2026-109618 a CVE-2026-109619 podľa tímu PHP umožňujú spustenie škodlivého kódu na diaľku bez prihlásenia.
Kto na serveri Nextcloudu spúšťa kód, môže za určitých okolností čítať všetky tam uložené súbory. Serverové šifrovanie pritom pomáha len obmedzene, pretože kľúče sú v tom istom systéme. Preto si včas položte otázku, ktoré osobné údaje by mohli byť dotknuté; všeobecné informácie ponúka stránka Oznamovacia povinnosť podľa GDPR: 72 hodín.
Zraniteľnosť PHP v Nextcloude: skontrolovať web, cron a kontajnery
Nextcloud používa PHP dvoma spôsobmi. Zobrazenia stránok a synchronizácia bežia cez PHP-FPM alebo mod_php. Úlohy na pozadí bežia ideálne cez systémový cron s PHP z príkazového riadku, rovnako ako správcovský príkaz occ. Obe cesty musia byť záplatované.
Verziu PHP vidia administrátori v nastaveniach správy cez dodávanú monitorovaciu aplikáciu (serverinfo). Opravené upstream verzie sú 8.5.12, 8.4.27, 8.3.36 a 8.2.35; backporty distribúcií často nesú staršie čísla. Ktoré verzie PHP vaša verzia Nextcloudu podporuje, skontrolujte podľa systémových požiadaviek v dokumentácii na nextcloud.com.
Mnohé inštalácie Nextcloudu bežia v kontajneroch. Tam nepomôže aktualizácia balíkov na hostiteľovi, ale iba nový obraz so záplatovaným PHP a reštart kontajnerov. Podrobnosti sú na stránke Záplatovanie PHP v kontajneroch Docker.
Adresáre a súbory v Nextcloude
| Miesto | Obsah | Bod kontroly |
|---|---|---|
config/config.php |
Prístup k databáze, secret, passwordsalt, trusted_domains |
Vložený kód, hodnoty pri podozrení posúdiť |
data/ |
Súbory používateľov, nextcloud.log, údaje aplikácií |
Ideálne mimo koreňa dokumentov |
apps/ |
Dodávané aplikácie | Kontrola integrity |
custom_apps/ (podľa inštalácie) |
Aplikácie z App Store | Neznáme alebo osirotené aplikácie |
themes/ |
Vlastný dizajn | Cudzí JavaScript |
Neškodné kontroly pomocou occ, spúšťané ako používateľ webového servera:
# Zobraziť stav a verziu
sudo -u www-data php occ status
# Súbory jadra skontrolovať voči podpísaným originálom
sudo -u www-data php occ integrity:check-core
# Zobraziť nainštalované a aktívne aplikácie
sudo -u www-data php occ app:list
# Vypísať používateľské účty
sudo -u www-data php occ user:list
Meno používateľa webového servera sa líši podľa distribúcie. Ak kontrola integrity hlási zmenené alebo ďalšie súbory, nenahrádzajte ich hneď, ale najprv zálohujte stav. Iba tak sa neskôr dá dohľadať, čo sa zmenilo a odkedy.
Nastavenia správy zobrazujú pod „Prehľad“ bezpečnostné upozornenia a upozornenia k nastaveniu. Berte ich vážne; často poukazujú na verejne dostupný adresár data alebo chýbajúce bezpečnostné hlavičky.
Aplikácie, admin účty a zdieľania
Aplikácie z Nextcloud App Store rozširujú platformu o office, formuláre, Talk alebo integrácie. Každá aplikácia je dodatočný kód PHP s vlastnou údržbou. Odstráňte aplikácie, ktoré nikto nepoužíva, a skontrolujte, či všetky aplikácie zodpovedajú nainštalovanej verzii Nextcloudu.
Skontrolujte skupinu „admin“ na neznámych členov, aktivujte dvojfaktorové prihlásenie pre všetky účty so zvýšenými právami a skontrolujte aplikačné heslá a verejné odkazy na zdieľanie. Cudzí verejný odkaz na citlivý priečinok je únik údajov, ktorý nenahlási žiadne skenovanie súborov.
Čo aktualizácia Nextcloudu dokáže a čo nie
Aktualizácia Nextcloudu nahradí jadro a dodávané aplikácie a uzatvorí v nich známe chyby. PHP nezáplatuje, nereštartuje ani PHP-FPM, ani procesy cron a neodstráni súbory v adresári data, cudzie účty ani zdieľania. Nedokazuje ani to, že medzi 17. a 21. 10. 2026 nič neuniklo. Uchovajte logy webového servera a Nextcloudu od 20. 10. 2026.
Po podozrení by ste mali navyše zneplatniť relácie desktopových a mobilných klientov a aplikačné heslá, aby sa všetky zariadenia museli prihlásiť znovu. Skontrolujte aj pripojené externé úložiská, ako sú sieťové disky alebo objektové úložiská. Ich prístupové údaje sú uložené v Nextcloude a pri útoku mohli byť odpočuté. Tieto prístupy obnovte v dohode s príslušnými zodpovednými osobami.
Ako konkrétne pomáha PHP SOS?
- Kontrolujeme webové, cron a kontajnerové PHP vášho Nextcloudu a necháme si preukázať záplatu a reštart.
- Zálohujeme logy a vykonávame kontrolu integrity, ako aj kontrolu aplikácií, účtov a zdieľaní.
- S vami posúdime, či má Nextcloud zostať verejne dostupný, alebo patrí za VPN.
- V rámci spevnenia servera umiestnime adresár
datamimo koreňa dokumentov a čisto nastavíme práva a nastavenia PHP.
Časté otázky
Týka sa PHP2Shell Nextcloudu?
Nextcloud beží na PHP. Ak PHP servera nie je záplatované, môže útočník podľa tímu PHP spustiť kód bez prihlásenia a získať tak prístup k uloženým súborom. Aktualizácia Nextcloudu zraniteľnosť PHP neuzatvorí.
Chráni serverové šifrovanie Nextcloudu pred PHP2Shell?
Len obmedzene. Pri serverovom šifrovaní sú kľúče na tom istom serveri. Kto tam môže spúšťať kód, môže za určitých okolností pristupovať aj k dešifrovanému obsahu.
Ako skontrolujem, či boli súbory Nextcloudu zmenené?
Príkazom occ integrity:check-core porovná Nextcloud súbory jadra s podpísanými originálmi. Nápadné výsledky by ste mali odborne posúdiť, skôr než sa súbory nahradia.
Mal by byť Nextcloud dostupný z internetu?
Závisí to od použitia. Ak sa Nextcloud potrebuje iba interne, prístup výlučne cez VPN výrazne zmenšuje plochu útoku. Pre externé zdieľanie je potom potrebné vedomé riešenie.