Критичните PHP2Shell ранливости во програмскиот јазик PHP не се ограничени само на веб-страници и сервери. Тие можат да влијаат и врз NAS уредите што се достапни преку интернет, како и врз PHP-базирани услуги поставени во Docker контејнери.

Станува збор за две ранливости, означени како CVE-2026-109618 и CVE-2026-109619, кои овозможуваат далечинско извршување код. Во случај на успешна злоупотреба, напаѓачите би можеле да преземат контрола над погодениот систем, да пристапат до податоци или да постават малициозен софтвер.

Synology веќе објави безбедносно известување во кое наведува дека се засегнати PHP верзиите од 7.3 до 8.4, како и пакетите Mail Station и Synology Calendar. Компанијата објавила ажурирани PHP пакети, па корисниците треба да проверат дали се достапни понови изданија на PHP 8.2 и PHP 8.4 преку Package Center.

Од Synology посочуваат дека инсталираните PHP пакети не се исто што и PHP компонентите вградени во DiskStation Manager. Вградениот PHP, според компанијата, не е јавно изложен на интернет и поради тоа не би требало да биде во ист ризик.

QNAP, пак, потврди дека проблемот опфаќа повеќе платформи, меѓу кои QTS 5.2.11 и постари верзии, QTS 6.1.9, QuTS hero, QuTScloud и Note Station 3. Производителот работи на поправка, но сè уште нема објавено рок кога таа би пристигнала.

Во меѓувреме, QNAP препорачува NAS уредите да не бидат директно достапни од интернет. Корисниците треба да ги исклучат непотребните правила за проследување порти, UPnP и услугите за далечински пристап. TerraMaster, Ugreen и Asustor исто така подготвуваат решенија за погодените производи.

Ризикот е двоен кај NAS системите, бидејќи PHP може да се користи и во самиот оперативен систем и во Docker контејнери. Затоа е важно да се проверат верзиите на PHP во сите активни контејнери и да се применат достапните надградби.

Особено внимателни треба да бидат сопствениците на постари NAS модели што повеќе не добиваат софтверска поддршка. За нив најбезбедно е уредот да остане достапен само во локалната мрежа, а далечинскиот пристап да се овозможи преку безбеден VPN, наместо со отворање на управувачките порти кон интернет.