استضافة Nextcloud على VPS: دليل NC 35 وPHP 8.3 وMariaDB 11

في مايو 2026، كُشف عن ثغرتَين حرجتَين في Nextcloud:

CVE-2026-45690 (درجة CVSS 5.9، مكشوفة في 15 مايو 2026): يمكن لمهاجم يملك اسم مستخدم وكلمة مرور تجاوز التحقق من المصادقة الثنائية عبر HTTP Basic Auth.

CVE-2026-45691 (درجة CVSS 5.9، مكشوفة في 13 مايو 2026): نفس الفئة، يُستغَل عبر رمز DAV Bearer — بروتوكول WebDAV المستخدم من عملاء المزامنة.

كلتا الثغرتين مُصلَّحتان في Nextcloud 32.0.9 و33.0.3. الفروع 34‎.x وما فوق غير متأثرة بهاتين الثغرتَين.

يُدخل Nextcloud 34.0.0 انحداراً في معالج التثبيت: التطبيقات الموصى بها (Notes وCalendar وContacts) غير معروضة أثناء الإعداد الأولي.

التحقق من وجود التطبيقات:

docker compose exec -u www-data app php occ app:list | grep -E 'calendar|contacts|notes'

التثبيت اليدوي:

docker compose exec -u www-data app php occ app:install calendar
docker compose exec -u www-data app php occ app:install contacts
docker compose exec -u www-data app php occ app:install notes

التوصية: ابدأ مباشرةً بـ 34.0.2 أو أعلى بدلاً من 34.0.0. المصادر: issues GitHub #61313 و#61611.

على المثيلات التي تستخدم PostgreSQL، يمكن أن تُخلّف هجرة Nextcloud 34.0.0 المنقطعة قيداً مُضاعَفاً على جدول oc_filecache_extended يُفجّر CPU وRAM.

الإصلاح:

docker compose exec -u www-data app php occ files:cleanup
docker compose exec -u www-data app php occ db:add-missing-indices
docker compose exec -u www-data app php occ db:add-missing-columns

المصدر: issue GitHub #61597. إذا استمرت الأخطاء، انتقل مباشرةً إلى 34.0.2.

التهيئة الموصى بها: VPS بـ 2 غيغابايت RAM (4 غيغابايت لأكثر من 5 مستخدمين)، SSD إلزامي، 20 غيغابايت كحد أدنى للتثبيت، Ubuntu 22.04 أو Debian 12، Docker Engine ≥ 24، اسم نطاق وشهادة TLS، المنفذان 80 و443 مفتوحان.

التحقق من الإصدار الحالي:

docker compose exec -u www-data app php occ status

الإصدارات المتأثرة: كل 32.x < 32.0.9 و33.x < 33.0.3. الفروع 34.x وما فوق غير متأثرة بهاتين الثغرتَين.

التحديث إلى الإصدار المُصلَّح (الفرع 32 → 32.0.9، الفرع 33 → 33.0.3):

# الفرع 32:
sed -i 's|nextcloud:[0-9.]*-apache|nextcloud:32.0.9-apache|g' docker-compose.yml
# الفرع 33:
# sed -i 's|nextcloud:[0-9.]*-apache|nextcloud:33.0.3-apache|g' docker-compose.yml
docker compose pull app && docker compose up -d app
docker compose exec -u www-data app php occ upgrade

Nextcloud بدون Redis بطيء. يضطلع Redis بدورَين حاسمَّين: تخزين الجلسات مؤقتاً والقفل الموزَّع الذي يمنع التعارضات.

تحقق من اتصال Redis:

docker compose exec -u www-data app php occ config:system:get redis

1. Redis غير مهيَّأ — بطء وتعارضات مزامنة.
2. overwrite.cli.url يشير إلى http:// — روابط مشاركة غير آمنة.
3. trusted_domains مهيَّأ بشكل خاطئ — رسالة 'untrusted domain'.
4. حجم الرفع محدود بـ 2 ميغابايت — أضف client_max_body_size 10G في Nginx.
5. تحديثات أمان مهملة — هيّئ إشعارات التحديث.

لا يرسل Nextcloud الملف الكبير دفعة واحدة: يقسّمه العميل إلى أجزاء (chunks) تُودَع في مجلد مؤقت، ثم يطلب من الخادم تجميعها عبر طلب أخير MOVE …/‎.file.

تُظهر المشكلة nextcloud/server #65408، المفتوحة في 12 أكتوبر 2026 على Nextcloud 35، ما الذي ينكسر: ملف بحجم 43 جيجابايت تقريباً رُفع عبر رابط مشاركة عام، وقُبلت كل الأجزاء (201)، ثم استغرق التجميع قرابة 17 دقيقة. يقطع Cloudflare الاستجابة التي تتجاوز مهلة القراءة لديه (125 ثانية افتراضياً وفق توثيقه، ونحو 100 ثانية قاسها صاحب البلاغ عبر Cloudflare Tunnel) ويعيد الرمز 524.

نقطة الدخول الخاصة بالمشاركات العامة، publicremote‎.php، لا تستدعي ignore_user_abort(true) بخلاف remote‎.php: فيوقف PHP التجميع عند إغلاق الاتصال، ثم يحذف المتصفح الأجزاء بطلب DELETE. وما تزال الملفات بين 4 و5 جيجابايت تمرّ. حتى 22 أكتوبر 2026، المشكلة مفتوحة ولا يوجد إصلاح منشور.

Error 524: a timeout occurred — لم تصل الاستجابة على طلب MOVE …/‎.file الأخير ضمن مهلة Cloudflare. الحل: النطاق الفرعي غير المُمرَّر عبر الوكيل.

413 Request entity too large — جزءٌ يتجاوز سقف خطة Cloudflare أو client_max_body_size. الحل: تقليل files‎.chunked_upload‎.max_size.

Could not open file: web-file-upload-<id>/75 … file doesn't seem to exist — ورد في المشكلة #65408: كان التجميع ما يزال جارياً بينما حذف المتصفح الأجزاء. يمنع صاحب البلاغ طلب DELETE على /public‎.php/dav/uploads/؛ ثم تحذف المهمة UploadCleanup الأجزاء المهجورة بعد 24 ساعة. ومع nginx، المكافئ هو كتلة location ^~ /public.php/dav/uploads/ تحتوي على if ($request_method = DELETE) { return 403; } ونفس proxy_pass. حل مؤقت غير رسمي، يُزال فور صدور إصلاح.

504 Gateway Time-out أثناء MOVE — هنا nginx هو الذي يتخلى: يذكر توثيق Nextcloud التوجيه fastcgi_read_timeout مع PHP-FPM، وهنا proxy_read_timeout.

تخزّن Nextcloud بياناتها في ثلاثة أماكن — يجب نسخ الثلاثة احتياطياً:

1. قاعدة بيانات MariaDB: البيانات الوصفية للملفات والمستخدمون والمشاركات.
2. حجم nextcloud: كود PHP والتطبيقات المثبَّتة وconfig/config.php.
3. ملفات المستخدمين.

docker compose exec -u www-data app php occ maintenance:mode --on
# MariaDB 10.x:
docker compose exec -T db mysqldump -u nextcloud -p${MYSQL_PASSWORD} nextcloud | gzip > /opt/nextcloud/backups/db-$(date +%Y%m%d).sql.gz
# MariaDB 11+: استخدم mariadb-dump بدلاً من ذلك
docker compose exec -u www-data app php occ maintenance:mode --off

منذ MariaDB 11.0، أُزيلت ثنائيات mysqldump وmysql من صورة Docker الرسمية. تتوفر الآن فقط mariadb-dump وmariadb. السكريبتات التي لا تزال تستخدم mysqldump مع mariadb:11.x ستفشل بصمت.

التحقق من إصدار MariaDB:

docker compose exec db mariadb --version

سكريبت نسخ احتياطي متوافق مع MariaDB 11+:

#!/bin/bash
DATE=$(date +%Y%m%d)
BACKUP_DIR=/opt/nextcloud/backups
mkdir -p $BACKUP_DIR

docker compose exec -u www-data app php occ maintenance:mode --on

# mariadb-dump يحلّ محل mysqldump على MariaDB 11+
docker compose exec -T db \
  mariadb-dump -u nextcloud -p${MYSQL_PASSWORD} nextcloud \
  | gzip > $BACKUP_DIR/db-$DATE.sql.gz

if gzip -t $BACKUP_DIR/db-$DATE.sql.gz 2>/dev/null; then
  echo "النسخ الاحتياطي سليم: $BACKUP_DIR/db-$DATE.sql.gz"
else
  echo "خطأ: الأرشيف تالف أو فارغ"
  docker compose exec -u www-data app php occ maintenance:mode --off
  exit 1
fi

docker compose cp app:/var/www/html/config/config.php $BACKUP_DIR/config-$DATE.php
docker compose exec -u www-data app php occ maintenance:mode --off

الاستعادة:

gunzip -c $BACKUP_DIR/db-$DATE.sql.gz | \
  docker compose exec -T db mariadb -u nextcloud -p${MYSQL_PASSWORD} nextcloud

ملاحظة: إذا بقيت على mariadb:10.11 (لا تزال مدعومة، نهاية الدعم في فبراير 2028 / EOL)، فإن كلاً من mysqldump وmariadb-dump يعملان بشكل طبيعي. لا تؤثر إزالة mysqldump إلا على MariaDB 11.0 وما فوق. بيد أن اعتماد mariadb-dump الآن يجعل سكريبتاتك جاهزة للهجرة المستقبلية.

بعد تثبيت Nextcloud وتأمينها:

تفعيل Talk (مؤتمرات الفيديو): ثبّت تطبيق Nextcloud Talk من واجهة الإدارة.

تفعيل OnlyOffice أو Collabora Online: هذه التطبيقات تحتاج حاوية Docker مستقلة.

مراقبة مثيلك: ضبط التنبيهات في الإدارة → المراقبة.

وصل ‏Microsoft Office 2021 إلى نهاية دورة حياته في 13 أكتوبر 2026: لن تصدر أي تحديثات أمنية بعد الآن. للفرق التي تُحرّر ملفات ‏.docx‏ و‏.xlsx‏ و‏.pptx‏ بشكل تعاوني داخل ‏Nextcloud‏، تغطي مجموعتا مكتب مفتوحتا المصدر هذه الحاجة مباشرةً من واجهة الويب.

‏Collabora Online هو إصدار ‏LibreOffice‏ على الإنترنت، موزَّع بموجب ترخيص ‏AGPL‏. يتكامل مع ‏Nextcloud‏ عبر تطبيق *Nextcloud Office*‏ ويعمل في حاوية منفصلة مبنية على collabora/code:latest‏، يتواصل مع ‏Nextcloud‏ عبر ‏WebSocket‏.

‏OnlyOffice Document Server يُقدّم واجهة أقرب إلى ‏Microsoft Office‏ — قوائم شريطية مألوفة لمستخدمي ‏Windows‏. موزَّع بترخيص ‏AGPL‏ أيضاً، يتكامل عبر تطبيق *ONLYOFFICE*‏ من متجر تطبيقات ‏Nextcloud‏.

التثبيت عبر متجر تطبيقات ‏Nextcloud:

# Collabora Online
docker compose exec -u www-data app php occ app:install richdocuments

# OnlyOffice
docker compose exec -u www-data app php occ app:install onlyoffice

نشر ‏Docker‏ منفصل — مثال لـ ‏Collabora Online:

أضف هذه الخدمة إلى docker-compose‎.yml‏:

  collabora:
    image: collabora/code:latest
    restart: unless-stopped
    environment:
      domain: cloud\.\u0646\u0637\u0627\u0642\u0643\.com
      username: admin
      password: ${COLLABORA_PASSWORD}
      extra_params: --o:ssl.enable=false --o:ssl.termination=true
    ports:
      - '127.0.0.1:9980:9980'
    cap_add:
      - MKNOD

ثم اضبط رابط خادم ‏Collabora‏ في ‏Nextcloud‏ (الإدارة ← المكتب ← رابط خادم ‏Collabora Online: https://office.نطاقك‎.com‏).

البصمة في الذاكرة: تضيف ‏Collabora Online‏ حوالي +300 ميغابايت من ‏RAM‏ لكل عملية نشطة (عملية واحدة لكل مستند مفتوح في الوقت ذاته). ‏OnlyOffice‏ أكثر استهلاكاً بقليل: +400 ميغابايت لكل مثيل نشط. على ‏VPS‏ بذاكرة 2 غيغابايت، قيّد الاستخدام المتزامن بـ 2–3 مستندات أو انتقل إلى 4 غيغابايت.

الصيغ المدعومة: يقرأ كلا التطبيقَين ويكتبان صيغ ‏Microsoft Office‏ (‏‎.docx‏ و‏‎.xlsx‏ و‏‎.pptx‏) وصيغ ‏OpenDocument‏ (‏‎.odt‏ و‏‎.ods‏ و‏‎.odp‏).

وفق صفحة دورة الحياة لدى Microsoft، لم يعد Office 2021 (إصدارات Home and Business وHome and Student وProfessional، بما فيها نسخ Mac) ولا Office LTSC 2021 على Windows يتلقيان تصحيحات منذ 13 أكتوبر 2026؛ ولا ينتقل إلى الدعم الممتد سوى Office LTSC 2021 لأجهزة Mac.

عند تفعيل Collabora، تعني الرسالة «Could not establish connection to the Collabora Online server.» (الإدارة ← Office) أن Nextcloud لا يصل إلى العنوان المصرَّح به. اختبره من داخل الحاوية: docker compose exec app curl -sI https://office.your-domain.com/hosting/discovery. ولإعادة الضبط والتشخيص: docker compose exec -u www-data app php occ richdocuments:activate-config --wopi-url=https://office.your-domain.com؛ وإذا جاء الرد Failed to fetch discovery endpoint from … فالمشكلة في الشبكة أو TLS. ويزول التحذير «You have not configured the allow-list for WOPI requests» بإدخال عنوان IP خادم Collabora في قائمة السماح الخاصة بـ WOPI. مقارنة مفصلة: Collabora Online أم OnlyOffice.

يجب دائماً تشغيل التحديثات في وضع الصيانة:

docker compose exec -u www-data app php occ maintenance:mode --on
# MariaDB 10.x:
docker compose exec -T db mysqldump -u nextcloud -p${MYSQL_PASSWORD} nextcloud \
  | gzip > /opt/nextcloud/backups/pre-update-db.sql.gz
# MariaDB 11+: استبدل mysqldump بـ mariadb-dump
sed -i 's|nextcloud:[0-9.]*-apache|nextcloud:34.0.4-apache|g' docker-compose.yml
docker compose pull app && docker compose up -d app
docker compose exec -u www-data app php occ upgrade
docker compose exec -u www-data app php occ maintenance:mode --off

يجعل Nextcloud 35 PHP 8.3 إلزامياً — PHP 8.2 لم يعد مدعوماً. إذا كنت تستخدم تثبيتاً محلياً أو صورة Docker مقيَّدة بـ PHP 8.2، يجب ترحيل PHP قبل الترقية إلى NC 35.

التحقق من إصدار PHP:

# في Docker
docker compose exec app php --version

في Docker — صورة nextcloud:35‎.x-apache تتضمن PHP 8.3+ بالفعل. ما عليك سوى تحديث الوسم:

image: nextcloud:35.0.0-apache

الامتدادات المطلوبة لـ Nextcloud 35: gd/imagick وredis وintl وbcmath وgmp وzip وopcache.

التحقق من الامتدادات المفقودة:

docker compose exec -u www-data app php occ check

صدر Nextcloud 35.0.0 في 15 سبتمبر 2026 (Hub 26 Summer). يدعم PHP 8.3 (الحد الأدنى الإلزامي) و8.4 و8.5 (موصى به). PHP 8.2 غير مدعوم — مثيل يعمل على PHP 8.2 لن يشتغل بعد الترقية إلى NC 35.

أفضل ممارسة — أعلّق على وسم صريح:

image: nextcloud:35.0.0-apache

مسار التحديث التسلسلي الإلزامي: v33 → v34 → v35

# الخطوة 1: الترقية إلى NC 34
docker compose exec -u www-data app php occ maintenance:mode --on
sed -i 's|nextcloud:[0-9.]*-apache|nextcloud:34.0.4-apache|g' docker-compose.yml
docker compose pull app && docker compose up -d app
docker compose exec -u www-data app php occ upgrade
docker compose exec -u www-data app php occ maintenance:mode --off

# الخطوة 2: الترقية إلى NC 35
docker compose exec -u www-data app php occ maintenance:mode --on
sed -i 's|nextcloud:[0-9.]*-apache|nextcloud:35.0.0-apache|g' docker-compose.yml
docker compose pull app && docker compose up -d app
docker compose exec -u www-data app php occ upgrade
docker compose exec -u www-data app php occ maintenance:mode --off

تحقق من مصفوفة التوافق على apps‎.nextcloud‎.com قبل كل ترقية.