Kort sagt: Nextcloud PHP-sårbarheten PHP2Shell finns inte i Nextcloud utan i serverns PHP. Eftersom Nextcloud ofta är ett företags centrala fillagring blir följderna av en attack särskilt stora. Patcha PHP för webb och cron, starta om alla processer och kontrollera därefter integritet, config.php och katalogen data.
Varför Nextcloud är särskilt kritiskt efter PHP2Shell
Nextcloud fungerar för många företag, advokatbyråer, mottagningar och förvaltningar som eget moln: avtal, personalhandlingar, offerter, projektfiler, kalendrar och kontakter. Ofta är det nåbart från internet så att medarbetare kan arbeta på resande fot. PHP-sårbarheterna CVE-2026-109618 och CVE-2026-109619 gör det enligt PHP-teamet möjligt att köra skadlig kod på distans utan inloggning.
Den som kör kod på Nextcloud-servern kan under vissa omständigheter läsa alla filer som lagras där. Kryptering på serversidan hjälper bara begränsat, eftersom nycklarna ligger på samma system. Ställ därför tidigt frågan vilka personuppgifter som kan vara berörda; allmänna råd ges i GDPR-anmälningsplikt: 72 timmar.
Nextcloud PHP-sårbarhet: kontrollera webb, cron och containrar
Nextcloud använder PHP på två vägar. Sidanrop och synkronisering går via PHP-FPM eller mod_php. Bakgrundsuppgifter körs helst via system-cron med kommandoradens PHP, liksom administrationskommandot occ. Båda vägarna måste vara patchade.
PHP-versionen ser administratörer i administrationsinställningarna via den medföljande övervakningsappen (serverinfo). Åtgärdade upstream-versioner är 8.5.12, 8.4.27, 8.3.36 och 8.2.35; distributionernas backports bär ofta äldre nummer. Vilka PHP-versioner er Nextcloud-version stöder kontrollerar ni enligt systemkraven i dokumentationen på nextcloud.com.
Många Nextcloud-installationer körs i containrar. Där hjälper ingen paketuppdatering på värden, utan bara en ny image med patchat PHP och en omstart av containrarna. Detaljer finns under Patcha PHP i Docker-containrar.
Kataloger och filer i Nextcloud
| Plats | Innehåll | Kontrollpunkt |
|---|---|---|
config/config.php |
Databasåtkomst, secret, passwordsalt, trusted_domains |
inskjuten kod, bedöm värdena vid misstanke |
data/ |
Användarfiler, nextcloud.log, appdata |
helst utanför dokumentroten |
apps/ |
medföljande appar | Integritetskontroll |
custom_apps/ (beroende på installation) |
Appar från App Store | okända eller föräldralösa appar |
themes/ |
eget utseende | främmande JavaScript |
Ofarliga kontroller med occ, körda som webbserverns användare:
# Visa status och version
sudo -u www-data php occ status
# Kontrollera kärnfilerna mot de signerade originalen
sudo -u www-data php occ integrity:check-core
# Visa installerade och aktiva appar
sudo -u www-data php occ app:list
# Lista användarkonton
sudo -u www-data php occ user:list
Webbserverns användarnamn skiljer sig beroende på distribution. Rapporterar integritetskontrollen ändrade eller extra filer, ersätt dem inte direkt utan säkra först tillståndet. Bara så går det i efterhand att följa vad som ändrats och sedan när.
Administrationsinställningarna visar under ”Översikt” säkerhets- och installationsvarningar. Ta dem på allvar; de pekar ofta på en offentligt nåbar data-katalog eller saknade säkerhetshuvuden.
Appar, administratörskonton och delningar
Appar från Nextcloud App Store utökar plattformen med kontor, formulär, Talk eller integrationer. Varje app är extra PHP-kod med eget underhåll. Ta bort appar som ingen använder och kontrollera att alla appar passar den installerade Nextcloud-versionen.
Kontrollera gruppen ”admin” med avseende på okända medlemmar, aktivera tvåfaktorsinloggning för alla konton med förhöjda rättigheter och granska applösenord och offentliga delningslänkar. En främmande offentlig länk till en känslig mapp är ett dataläckage som ingen filskanning rapporterar.
Vad en Nextcloud-uppdatering klarar och inte klarar
En Nextcloud-uppdatering ersätter kärnan och medföljande appar och stänger kända fel i dem. Den patchar inte PHP, startar varken om PHP-FPM eller cron-processer och tar inte bort filer i katalogen data, främmande konton eller delningar. Den bevisar inte heller att inget läckt ut mellan den 17 och 21 oktober 2026. Spara webbserverns och Nextclouds loggar från och med den 20 oktober 2026.
Vid misstanke bör ni dessutom ogiltigförklara sessioner från skrivbords- och mobilklienter samt applösenord, så att alla enheter måste logga in på nytt. Kontrollera även anslutna externa lagringsplatser som nätverksenheter eller objektlagring. Deras åtkomstuppgifter är lagrade i Nextcloud och kan ha lästs vid en attack. Förnya dessa åtkomster i samråd med respektive ansvariga.
Hur hjälper PHP SOS konkret?
- Vi kontrollerar webb-, cron- och container-PHP för er Nextcloud och låter patch och omstart styrkas.
- Vi säkrar loggar och genomför integritetskontroll samt kontroll av appar, konton och delningar.
- Vi bedömer tillsammans med er om Nextcloud måste förbli offentligt nåbart eller hör hemma bakom ett VPN.
- Inom ramen för serverhärdningen lägger vi
data-katalogen utanför dokumentroten och ställer in rättigheter och PHP-inställningar ordentligt.
Vanliga frågor
Berörs Nextcloud av PHP2Shell?
Nextcloud körs på PHP. Är serverns PHP inte patchat kan en angripare enligt PHP-teamet köra kod utan inloggning och därmed få åtkomst till de lagrade filerna. En Nextcloud-uppdatering stänger inte PHP-sårbarheten.
Skyddar Nextclouds kryptering på serversidan mot PHP2Shell?
Bara i begränsad omfattning. Vid kryptering på serversidan ligger nycklarna på samma server. Den som kan köra kod där kan under vissa omständigheter också komma åt dekrypterat innehåll.
Hur kontrollerar jag om Nextcloud-filer har ändrats?
Med kommandot occ integrity:check-core jämför Nextcloud kärnfilerna med de signerade originalen. Avvikande resultat bör bedömas av en expert innan filer ersätts.
Ska Nextcloud vara nåbart från internet?
Det beror på användningen. Behövs Nextcloud bara internt minskar åtkomst enbart via VPN angreppsytan avsevärt. För externa delningar behövs då en medveten lösning.