Новости
PHP2Shell: утечка критических RCE в PHP 5–8
До релиза патча утекли детали двух критических RCE в PHP. Экстренный фикс вышел 21 октября — под угрозой любой сайт на PHP с приёмом файлов.
Коротко: критические уязвимости PHP2Shell (CVE-2026-109618 и CVE-2026-109619), патч для которых PHP выпустил 21 октября, оказались актуальны не только для веб-серверов, но и для домашних и офисных сетевых накопителей (NAS) — на них PHP используется внутренней веб-панелью управления и пакетами вроде почтового сервера. Synology отреагировала быстро: 22 октября вышел бюллетень Synology-SA-26:14 с обновлёнными пакетами PHP для DSM, устанавливаемыми через Package Center. QNAP в тот же день подтвердил уязвимость своих систем QTS, QuTS hero и QuTScloud, но патча пока не выпустил — владельцам таких накопителей временно рекомендуют ограничить удалённый доступ.
Содержание
При чём тут NAS
PHP2Shell — неформальное название двух критических уязвимостей удалённого выполнения кода в самом интерпретаторе PHP, подробности о которых стали известны ещё до координированного релиза патча. Подробно про саму утечку и экстренный выпуск фикса 21 октября мы писали в заметке «PHP2Shell: утечка критических RCE в PHP 5–8». На практике PHP работает не только на обычных сайтах — он лежит в основе веб-интерфейсов многих сетевых накопителей (NAS), которыми пользуются для хранения файлов, фото и резервных копий дома и в малом офисе.
Именно поэтому через день после патча для самого PHP производители NAS начали публиковать собственные бюллетени: уязвимость в интерпретаторе автоматически означает уязвимость в веб-панели устройства, если производитель не успел собрать и выпустить обновлённый пакет PHP для своей прошивки.
Synology: патч уже доступен
22 октября 2026 Synology опубликовала официальный бюллетень Synology-SA-26:14 с уровнем критичности «Critical». В перечень уязвимых компонентов попали версии PHP с 7.3 по 8.4, а также приложения Mail Station и Synology Calendar, которые используют PHP для собственной работы. Для версии PHP 7.3 исправления не будет — эта ветка достигла конца жизненного цикла (End of Life), и Synology рекомендует перейти на более новую.
- PHP 7.4 — обновить до 7.4.33-0131 и новее
- PHP 8.0 — до 8.0.30-0122 и новее
- PHP 8.1 — до 8.1.34-0120 и новее
- PHP 8.2 — до 8.2.35-0171 и новее
- PHP 8.3 — до 8.3.36-0051 и новее
- PHP 8.4 — до 8.4.27-0051 и новее
- Synology Calendar — до 3.0.4-21435 и новее; Mail Station — до 30000002.3.19-20333 и новее
Обновлённые пакеты уже раздаются через Package Center устройств DSM, так что для большинства пользователей достаточно открыть Центр пакетов и установить доступные обновления вручную или дождаться автоматической установки, если она включена.
QNAP: уязвимость подтверждена, патча нет
QNAP в своём бюллетене безопасности от 22 октября подтвердила, что уязвимости затрагивают QTS 5.2.11 и более ранние версии, QTS 6.1.0, несколько веток QuTS hero (h6.1.0, h6.0.x, h5.2.11 и ранее), QuTScloud c5.2.9 и более ранние версии, а также приложение Note Station 3. В отличие от Synology, на момент публикации этой заметки QNAP не выпустила обновлённую прошивку или пакет PHP — компания сообщила, что работает над исправлением, но не назвала дату выхода.
!
Разрыв в патчах
Пока у одного из крупнейших производителей NAS нет готового фикса, а детали уязвимости уже публичны — это окно особенно опасно для устройств QNAP, открытых в интернет напрямую (проброс портов, UPnP) для удалённого доступа к файлам.
Для сравнения: разработчики файрвол-дистрибутивов OPNsense и pfSense, а также проект Nextcloud (в сборке All-in-One, версия 14.4.1) уже выпустили собственные обновления с пропатченным PHP — то есть скорость реакции у разных производителей программных и аппаратных продуктов на базе PHP заметно различается.
Что делать владельцам NAS прямо сейчас
- Владельцам Synology — зайдите в Центр пакетов (Package Center) и установите доступные обновления PHP, Mail Station и Calendar. Если используете PHP 7.3 — переходите на более новую поддерживаемую версию, патча для неё не будет.
- Владельцам QNAP — до выхода официального патча отключите проброс портов и UPnP на роутере для накопителя, ограничьте доступ к веб-панели локальной сетью и используйте VPN для удалённого подключения, а не прямой выход в интернет.
- На любом NAS — ограничьте порты удалённого управления (в частности 8080 и 443) локальной сетью, если удалённый доступ не используется постоянно.
- Проверьте версию прошивки и PHP после установки любого обновления — производители иногда выпускают исправления в несколько заходов.
Сама уязвимость не портит и не блокирует хранящиеся на NAS файлы — опасность в том, что через неё злоумышленник может получить контроль над устройством, а значит и доступ ко всем данным на нём. Базовые принципы защиты сетевых хранилищ и загружаемых файлов от вредоносного кода собраны в разделе безопасность файлов.
