PHP2Shell-sårbarheterna hotar NAS-enheter när tillverkare förbereder säkerhetsuppdateringar

PHP2Shell-sårbarheterna kan påverka nätverksansluten lagring (NAS) liksom webbplatser och webbappar, enligt TechRadar, som hänvisar till forskning från Apple Insider. Enheter som är nåbara från det offentliga internet kan vara utsatta, och sårbarheterna har utnyttjats aktivt i verkliga attacker. Artikeln uppger också att det saknas belägg för attacker i verkligheten mot QNAP-produkter.

Synology uppger att PHP-versionerna 7.3–8.4, Mail Station och Synology Calendar är berörda. Företaget har släppt uppdaterade PHP-paket och uppmanar användare att leta efter uppdateringar för PHP 8.2 och PHP 8.4 i Package Center. Enligt företaget är den inbyggda PHP-komponenten i DiskStation Manager inte exponerad mot det offentliga internet och sannolikt inte utsatt.

QNAP listar QTS 5.2.11 och äldre, QTS 6.1.9, QuTS hero, QuTScloud och Note Station 3 bland de berörda produkterna. Företaget arbetar på en lösning men har inte angett någon tidsplan för lanseringen. Enligt uppgifterna arbetar även TerraMaster, Ugreen och Asustor på lösningar.

Sårbarheterna, CVE-2026-109618 och CVE-2026-109619, möjliggör fjärrkörning av kod. Artikeln säger att PHP i Docker-containrar också kan vara berört och uppmanar NAS-ägare att kontrollera tillverkarnas säkerhetsmeddelanden och tillgängliga uppdateringar. Den återger även rekommendationer om att begränsa åtkomst från internet och stänga av onödiga fjärråtkomstfunktioner.