记一次 PHP 重大 RCE 漏洞应急响应与 Nextcloud 升级实践

systemctl stop php8.1-fpm

# 1. 备份数据库
mysqldump -u root -p'***' nextcloud > /data/nextcloud-backup/nextcloud-db-$(date +%F).sql

# 2. 备份配置文件
cp /var/www/nextcloud/config/config.php /data/nextcloud-backup/config.php.bak

# 3. 备份数据目录（用户文件，1.7G，压缩后 1.4G）
tar czf /data/nextcloud-backup/nextcloud-data-$(date +%F).tar.gz \
    -C /var/www/nextcloud data

# 添加 PPA
add-apt-repository -y ppa:ondrej/php
apt-get update

# 安装 PHP 8.5 及 Nextcloud 所需扩展
apt-get install -y \
  php8.5-fpm php8.5-cli php8.5-common \
  php8.5-mysql php8.5-gd php8.5-xml php8.5-curl \
  php8.5-mbstring php8.5-zip php8.5-intl \
  php8.5-bz2 php8.5-bcmath php8.5-gmp \
  php8.5-apcu php8.5-imagick php8.5-redis \
  php8.5-ldap php8.5-smbclient php8.5-xmlreader

systemctl start php8.5-fpm
systemctl stop php8.1-fpm
systemctl disable php8.1-fpm
systemctl restart nginx

# 升级 27~32 时
sudo -u www-data php8.2 occ upgrade

# 升级 33~35 时（已支持 8.5）
sudo -u www-data php8.5 occ upgrade

#!/bin/bash
# Nextcloud 逐版本升级脚本：26 -> 35（自动切换 PHP 版本）
# 27-32 用 PHP 8.2，33-35 用 PHP 8.5
# 用法：bash upgrade-nextcloud.sh
set -euo pipefail

NC_DIR="/var/www/nextcloud"
BACKUP_DIR="/data/nextcloud-backup"
DOWNLOAD_BASE="https://download.nextcloud.com/server/releases"

# 升级路径：版本 及 对应的 PHP 二进制
# 注意：27-32 不支持 PHP 8.5，需用 8.2
UPGRADES=(
  "27.1.11|php8.2"
  "28.0.14|php8.2"
  "29.0.16|php8.2"
  "30.0.17|php8.2"
  "31.0.14|php8.2"
  "32.0.15|php8.2"
  "33.0.10|php8.5"
  "34.0.5|php8.5"
  "35.0.2|php8.5"
)

echo "=============================================="
echo "Nextcloud 逐版本升级：26 -> 35"
echo "=============================================="

for entry in "${UPGRADES[@]}"; do
  ver="${entry%%|*}"
  phpbin="${entry##*|}"
  echo ""
  echo "########## 升级到 Nextcloud $ver (使用 $phpbin) ##########"

  # 下载
  ZIP="/data/nextcloud-backup/nextcloud-${ver}.zip"
  if [ ! -f "$ZIP" ]; then
    echo "[$ver] 下载..."
    curl -sL --max-time 300 "${DOWNLOAD_BASE}/nextcloud-${ver}.zip" -o "$ZIP"
    echo "[$ver] 下载完成: $(du -h "$ZIP" | cut -f1)"
  else
    echo "[$ver] 已存在，跳过下载"
  fi

  # 解压到临时目录
  TMP="/tmp/nc-upgrade-${ver}"
  rm -rf "$TMP"
  mkdir -p "$TMP"
  echo "[$ver] 解压..."
  unzip -q "$ZIP" -d "$TMP"

  # 临时移出 config 和 data（这是最干净的方式，避免残留）
  echo "[$ver] 移出 config 和 data..."
  mv "$NC_DIR/config" "/tmp/nc-config-${ver}"
  mv "$NC_DIR/data" "/tmp/nc-data-${ver}"

  # 删除旧代码，放入新代码
  echo "[$ver] 替换代码目录..."
  rm -rf "$NC_DIR"
  mv "$TMP/nextcloud" "$NC_DIR"

  # 恢复 config 和 data
  echo "[$ver] 恢复 config 和 data..."
  rm -rf "$NC_DIR/config"
  mv "/tmp/nc-config-${ver}" "$NC_DIR/config"
  mv "/tmp/nc-data-${ver}" "$NC_DIR/data"

  # 权限
  chown -R www-data:www-data "$NC_DIR"

  # 确认版本
  VER_IN_CODE=$(grep -oP "OC_VersionString = '\K[^']+" "$NC_DIR/version.php")
  echo "[$ver] 代码版本：$VER_IN_CODE（PHP: $($phpbin -v | head -1 | grep -oP 'PHP \K[0-9.]+')）"

  # 执行升级
  echo "[$ver] 执行 occ upgrade..."
  cd "$NC_DIR"
  sudo -u www-data $phpbin occ maintenance:mode --off 2>&1 | tail -2 || true
  sudo -u www-data $phpbin occ upgrade --no-interaction 2>&1 | tail -30 || {
    echo "[$ver] ❌ 升级失败！"
    echo "config.php 和 data 已保留在 $NC_DIR"
    echo "请检查日志后重试。"
    exit 1
  }

  echo "[$ver] ✅ 升级成功"
  rm -rf "$TMP"
done

echo ""
echo "=============================================="
echo "全部升级完成！当前版本："
cd "$NC_DIR"
sudo -u www-data php8.5 occ status 2>&1 | grep -E "version|versionstring"
echo "=============================================="

sudo -u www-data php8.5 occ db:schema:check
# The live database schema matches the expected schema.

nginx -t && systemctl reload nginx

# 1. 进入维护模式
sudo -u www-data php8.5 occ maintenance:mode --on

# 2. rsync 迁移（保留权限和时间戳）
rsync -a /var/www/nextcloud/data/ /data/nextcloud-data/

# 3. 验证文件数一致
find /var/www/nextcloud/data -type f | wc -l   # 源
find /data/nextcloud-data -type f | wc -l      # 目标（应一致）

# 4. 设置权限
chown -R www-data:www-data /data/nextcloud-data

# 5. 修改 config.php
# 'datadirectory' => '/data/nextcloud-data'

# 6. 退出维护模式并验证
sudo -u www-data php8.5 occ maintenance:mode --off
sudo -u www-data php8.5 occ files:scan --all

# 7. 确认无误后删除旧目录
rm -rf /var/www/nextcloud/data