Las vulnerabilidades PHP2Shell ponen en riesgo dispositivos NAS mientras los fabricantes preparan parches

El par de vulnerabilidades PHP2Shell también podría afectar a los dispositivos de almacenamiento conectado en red (NAS), además de a sitios web y aplicaciones web, según TechRadar, que cita una investigación de Apple Insider. Los dispositivos accesibles desde internet público podrían estar en riesgo, y las vulnerabilidades se han explotado activamente en ataques reales. El artículo también señala que no hay pruebas de ataques reales contra productos de QNAP.

Synology afirma que están afectados PHP en las versiones 7.3–8.4, Mail Station y Synology Calendar. La empresa ha publicado paquetes PHP actualizados y recomienda buscar actualizaciones de PHP 8.2 y PHP 8.4 en Package Center. Según la compañía, el componente PHP integrado en DiskStation Manager no está expuesto a internet público y probablemente no corre riesgo.

QNAP incluye entre los productos afectados QTS 5.2.11 y versiones anteriores, QTS 6.1.9, QuTS hero, QuTScloud y Note Station 3. La empresa trabaja en una solución, pero no ha dado un calendario de publicación. Según la información, TerraMaster, Ugreen y Asustor también preparan soluciones.

Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, permiten la ejecución remota de código. El artículo indica que también podría verse afectado PHP en contenedores Docker y pide a los propietarios de NAS que consulten los avisos de seguridad y las actualizaciones disponibles de los fabricantes. También recoge recomendaciones para limitar el acceso desde internet y desactivar funciones de acceso remoto innecesarias.