PHP2Shell sui NAS Synology e QNAP: pacchetti da aggiornare e mitigazioni

Articolo aggiornato al 24 ottobre 2026. La situazione è ancora in evoluzione: lo aggiornerò quando QNAP rilascerà le versioni corrette.

Se avete un NAS Synology o QNAP in azienda, in questi giorni nel Package Center o nell’App Center potreste vedere comparire aggiornamenti per PHP, oppure, sui QNAP, un avviso di sicurezza senza nessuna versione da installare. Il motivo è lo stesso: “PHP2Shell”, le due vulnerabilità critiche di PHP (CVE-2026-109618 e CVE-2026-109619) pubblicate il 21 ottobre, che permettono a un attaccante non autenticato di eseguire codice sul sistema.

Ne ho già parlato per i server web in PHP2Shell: come aggiornare PHP e riavviare FPM. Sui NAS però PHP non lo gestite voi: arriva dentro il sistema operativo e dentro i pacchetti del produttore, e quindi la correzione dipende da Synology e QNAP. Il 22 ottobre entrambi hanno pubblicato il loro bollettino, con due situazioni molto diverse.

Chi è coinvolto

Synology (bollettino Synology-SA-26:14, stato “Resolved”): sono coinvolti i pacchetti PHP da 7.3 a 8.4 che si installano dal Package Center, di solito insieme a Web Station, più Mail Station e Synology Calendar. Le versioni corrette sono:

PHP 7.4: 7.4.33-0131 o successiva;
PHP 8.0: 8.0.30-0122; PHP 8.1: 8.1.34-0120;
PHP 8.2: 8.2.35-0171; PHP 8.3: 8.3.36-0051; PHP 8.4: 8.4.27-0051;
Mail Station: 30000002.3.19-20333; Synology Calendar: 3.0.4-21435;
PHP 7.3: nessuna correzione, è fuori supporto.

Synology precisa che il PHP integrato in DSM non è esposto all’esterno e considera molto basso il rischio da quel lato: il problema sono i pacchetti.

QNAP (bollettino QSA-26-18, stato “Fixing”): qui PHP è usato anche dalle funzioni web del sistema operativo. Sono coinvolti QTS 5.2.11 e precedenti, QTS 6.1.0, QuTS hero h5.2.11 e precedenti, h6.0.x e h6.1.0, QuTScloud c5.2.9 e precedenti, oltre a Note Station 3, QNE, QVR Surveillance (solo modelli ARM32) e TVR OS. Per tutti la versione corretta è “To be announced”: al momento non c’è nulla da installare, solo mitigazioni.

Attenzione: su entrambi i marchi, il PHP che gira dentro i container Docker (Container Manager su Synology, Container Station su QNAP) o dentro app di terze parti non viene corretto dagli aggiornamenti del produttore. Va aggiornata l’immagine.

Prima di iniziare

Verificate che l’ultimo backup del NAS sia andato a buon fine, ed esportate la configurazione: su Synology da Pannello di controllo → Aggiorna e ripristina → Backup configurazione, su QNAP da Pannello di controllo → Sistema → Backup/Ripristino. Se ospitate siti o gestionali su Web Station, annotatevi quale profilo PHP usa ciascuno: dopo l’aggiornamento è la prima cosa da ricontrollare.

Synology: aggiornare i pacchetti

Aprite Package Center → Installati e cercate PHP, Mail Station e Synology Calendar.
Per ciascuno, se compare il pulsante Aggiorna, installate l’aggiornamento e confrontate la versione con l’elenco sopra.
Se usate SSH, potete controllare tutto in un colpo solo:

sudo synopkg list | grep -iE 'php|mailstation|calendar'

Se avete ancora PHP 7.3, spostate i siti su un profilo PHP 8.x in Web Station → Impostazioni linguaggio di script, verificate che funzionino e poi disinstallate PHP 7.3.
Aprite i siti ospitati e controllate che rispondano correttamente.

Se trovate pacchetti PHP che nessuno usa più, approfittatene per toglierli: un pacchetto in meno è una superficie d’attacco in meno. Mail Station, poi, è il vecchio server di posta di Synology: se è ancora installato ma la posta passa altrove, io lo disinstallerei.

QNAP: le mitigazioni in attesa della patch

Finché QNAP non pubblica le versioni corrette, l’obiettivo è che nessuno da Internet possa raggiungere l’interfaccia web del NAS. Sono le indicazioni dello stesso bollettino:

Sul router o firewall eliminate i port forwarding verso il NAS e disattivate UPnP. Sul NAS, in myQNAPcloud → Configurazione automatica router, disattivate l’inoltro porte UPnP.
Se non vi servono, disattivate myQNAPcloud Link e togliete i servizi pubblicati in myQNAPcloud → Pubblica servizi.
Per l’accesso da fuori usate una VPN, quella del firewall o QVPN Service.
In QuFirewall (oppure in Pannello di controllo → Sistema → Sicurezza → Elenco autorizzati/negati) consentite le porte di gestione, di default 8080 e 443, solo dalle sottoreti interne e dalla VPN, ad esempio 192.168.1.0/24.
In App Center arrestate le app basate su PHP che non usate e, se non vi serve, disattivate il web server in Pannello di controllo → Applicazioni → Web Server.

Attenzione: spegnere il web server non protegge l’interfaccia di amministrazione, che usa comunque PHP. Il vero scudo sono i punti 1-4. Per QNE, QVR Surveillance e TVR OS le stesse restrizioni vanno applicate sul firewall di rete.

Per verificare l’esposizione, da una connessione esterna (ad esempio la rete cellulare del telefono) provate a raggiungere l’IP pubblico dell’ufficio sulle porte del NAS: non deve rispondere nulla.

I container Docker

Se sul NAS girano container con PHP, ad esempio un WordPress o un gestionale web, scaricate l’immagine aggiornata e ricreate il container. Da SSH, nella cartella del progetto:

docker compose pull
docker compose up -d
docker compose exec NOME_SERVIZIO php -v

Prima di farlo, assicuratevi che i dati stiano su volumi persistenti e non dentro il container, altrimenti ricrearlo significa perderli.

Se il problema persiste

Se su Synology l’aggiornamento non compare, provate ad aggiornare l’elenco del Package Center o a scaricare il pacchetto dall’Archivio download di Synology e installarlo manualmente. Su QNAP tenete d’occhio il bollettino QSA-26-18: quando la colonna della versione corretta cambierà da “To be announced”, la patch sarà disponibile.

Se il NAS è stato esposto su Internet in questi giorni, aggiornare non basta: i primi tentativi di sfruttamento risalgono al 17 ottobre. Su QNAP controllate i log in QuLog Center ed eseguite Security Center e Malware Remover con le definizioni aggiornate; su Synology guardate il Centro registri e lanciate Security Advisor. Se qualcosa non vi convince, scollegate il NAS dalla rete, cambiate tutte le password e aprite un ticket con il produttore.

Vi è capitato di trovare sul NAS un PHP 7.3 dimenticato o un servizio pubblicato su Internet che nessuno ricordava? Raccontate nei commenti come l’avete sistemato: possono essere utili ad altri.