Synology und QNAP: die PHP-Sicherheitslücke (PHP2Shell) auf dem NAS

MacWindowsAktualisiert

Synology und QNAP haben am 22. Oktober 2026 Sicherheitshinweise zu PHP2Shell veröffentlicht, den zwei kritischen PHP-Lücken vom Vortag. Stand 23. Oktober 2026 sind die Korrekturen von Synology im Paketzentrum verfügbar. Die von QNAP noch nicht: Der Hinweis nennt die korrigierten Versionen „To be announced“ und beschreibt, wie du das NAS bis dahin vom Internet trennst.

Kurze Antwort

Synology-Besitzer: Öffne das Paketzentrum, klick auf Installiert und aktualisiere alle Pakete, besonders PHP-Pakete, Synology Calendar und Mail Station. Das in DSM eingebaute PHP stuft Synology als sehr geringes Risiko ein. QNAP-Besitzer, Stand 23. Oktober 2026: noch keine Korrektur, also Portweiterleitung und UPnP abschalten und für den Fernzugriff ein VPN nutzen.

Betrifft PHP2Shell mein Synology-NAS?

Möglicherweise, je nachdem, was du installiert hast. Synologys Hinweis Synology-SA-26:14 vom 22. Oktober 2026 stuft das Problem als kritisch (Critical) ein und markiert es als gelöst (Resolved). Laut Hinweis können Angreifer aus der Ferne über anfällige Versionen bestimmter DSM-Pakete Code ausführen. Das im Betriebssystem eingebaute PHP sei dagegen keinen externen Angriffsflächen ausgesetzt, das Ausnutzungsrisiko dort gilt als sehr gering.

Die Gefahr, die Synology beschreibt, liegt also in den Paketen, die du über das Paketzentrum hinzufügst, nicht in DSM selbst. Stand 23. Oktober 2026 nennt Synology diese korrigierten Versionen:

  1. Synology Calendar 3.0.4-21435 oder neuer.
  2. Mail Station 30000002.3.19-20333 oder neuer.
  3. PHP 7.4: 7.4.33-0131 oder neuer.
  4. PHP 8.0: 8.0.30-0122 oder neuer.
  5. PHP 8.1: 8.1.34-0120 oder neuer.
  6. PHP 8.2: 8.2.35-0171 oder neuer.
  7. PHP 8.3: 8.3.36-0051 oder neuer.
  8. PHP 8.4: 8.4.27-0051 oder neuer.

Für das Paket PHP 7.3 wird laut Synology keine Korrektur bereitgestellt, weil diese Version ihr Lebensende erreicht hat.

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) führt in seiner Warnung Synology- und QNAP-Produkte unter den mindestens teilweise betroffenen Produkten auf.

Wie aktualisiere ich Pakete auf einem Synology-NAS?

Die deutsche Hilfe von Synology zum Paketzentrum rät, Pakete immer auf dem aktuellen Stand zu halten, um den guten Zustand des NAS zu bewahren. Aktualisiert wird über die Liste der installierten Pakete.

  1. Melde dich im Browser bei DSM an und öffne das Paketzentrum.
  2. Klick im linken Fenster auf Installiert. Dort siehst du verfügbare Aktualisierungen.
  3. Klick bei jedem Paket auf Aktualisieren, oder auf Alle aktualisieren für alle auf einmal.
  4. Vergleich die Versionsnummern mit der Liste oben, besonders bei PHP-Paketen.
  5. Wie Updates künftig angeboten werden, legst du im Paketzentrum unter Einstellungen > Automatische Updates fest.
  6. Um per E-Mail oder auf dem Desktop über neue Aktualisierungen informiert zu werden, klickst du auf Einstellungen > Allgemein > Benachrichtigung, setzt die Häkchen und klickst auf OK.

Brauche ich PHP auf meinem Synology-NAS?

DSM hat ein eigenes, eingebautes PHP, das Synology als sehr geringes Risiko einstuft. Die PHP-Pakete von 7.4 bis 8.4 sind davon getrennt: Sie stehen in der Liste Installiert, wenn du sie hinzugefügt hast oder ein Paket, das du installiert hast, sie hinzugefügt hat.

  1. Öffne das Paketzentrum und klick auf Installiert.
  2. Such nach Paketen, die PHP mit einer Versionsnummer heißen.
  3. Wenn du mit Web Station Websites betreibst: Synologys Hinweis zu älteren PHP-Versionen empfiehlt PHP 8.1 oder 8.2. Laufen Websites noch mit PHP 7.3, 7.4 oder 8.0, rät Synology, in den Einstellungen von Web Station das PHP-Profil auf 8.1 oder 8.2 umzustellen.
  4. Aktualisiere jedes vorhandene PHP-Paket auf die korrigierte Version.

Im Paketzentrum kannst du ein Paket auch deinstallieren: Paket anklicken und im Dropdown-Menü Deinstallieren wählen. Hast du ein PHP-Paket für etwas installiert, das du nicht mehr nutzt, ist das eine Möglichkeit. Prüf vorher, dass nichts anderes davon abhängt.

Ist mein QNAP-NAS betroffen?

Ja, wenn eine betroffene Version läuft. QNAPs Hinweis QSA-26-18 vom 22. Oktober 2026, als kritisch eingestuft, nennt in seiner Tabelle unter anderem diese Produkte. Stand 23. Oktober 2026 steht bei allen „Fixing“, die korrigierte Version ist „To be announced“.

  1. QTS 6.1.0 sowie QTS 5.2.11 und älter.
  2. QuTS hero h6.1.0, h6.0.x sowie h5.2.11 und älter.
  3. QuTScloud c5.2.9 und älter.
  4. Note Station 3, Version 3.9.14 und älter.

Die Tabelle nennt außerdem QNE (ADRA) 1.0.7 und älter, QVR Surveillance 3.0.3 und älter auf ARM32-Modellen sowie TVR OS 1.0.4 und älter. QuMagie 2.10.1 und älter wird im Kopf des Hinweises genannt, steht aber nicht in der Tabelle. Stand 23. Oktober 2026 schreibt QNAP, Ausnutzungsversuche gegen PHP seien öffentlich gemeldet worden, Berichte über Angriffe auf QNAP-Produkte habe QNAP aber nicht erhalten. Der Hinweis kann sich ändern, sobald Korrekturen erscheinen. Sieh also noch einmal nach, bevor du dich auf diese Liste verlässt.

Was mache ich mit meinem QNAP-NAS, bis die Korrektur kommt?

Laut QNAP ist der wirksamste Schutz bis zur Korrektur, das Gerät vom Internet fernzuhalten. Die Schritte senken das Risiko, beheben die Lücken aber nicht vollständig. Die Menünamen stehen hier so, wie QNAP sie im englischen Hinweis nennt; in der deutschen Oberfläche können sie anders heißen.

  1. Schalte am Router die Portweiterleitung zum NAS und UPnP ab.
  2. Schalte am NAS unter myQNAPcloud > Auto Router Configuration die UPnP-Portweiterleitung ab.
  3. Wenn du sie nicht brauchst, schalte myQNAPcloud Link ab und nimm Dienste unter myQNAPcloud > Publish Services aus der Veröffentlichung.
  4. Für den Zugriff von unterwegs verbindest du dich über QVPN Service oder das VPN deines Routers, statt Web-Ports zu öffnen.
  5. Erlaube in QuFirewall oder unter Control Panel > System > Security > Allow/Deny List die Verwaltungsports (standardmäßig 8080 und 443) nur aus vertrauenswürdigen Netzen oder VPN-Adressen.
  6. Stopp im App Center betroffene Apps, die du nicht brauchst. Sichere Einstellungen und Daten, bevor du etwas deinstallierst.
  7. Wenn du den Webserver nicht nutzt, schalte ihn unter Control Panel > Applications > Web Server ab.

QNAP schreibt, dass das Stoppen von Apps und das Abschalten des Webservers die eigene Verwaltungsoberfläche des NAS nicht schützen. Internetzugang kappen, VPN nutzen und die Verwaltungsports beschränken (hier die Schritte 1 bis 5) bleiben laut QNAP der wichtigste Schutz.

Was, wenn mein NAS schon kompromittiert sein könnte?

QNAP nennt eigene Schritte für seine Geräte. Das BSI rät Betreibern allgemein, sicherzustellen, dass keine Kompromittierung stattgefunden hat, und nennt als Anzeichen etwa neu erstellte oder veränderte PHP-Dateien und mögliche Webshells. Ein Update entfernt nichts, was ein Angreifer bereits installiert hat.

  1. Prüf bei QNAP im QuLog Center, ob es Anmeldungen oder Zugriffe gibt, die du nicht kennst.
  2. Lass Security Center und Malware Remover mit aktuellen Definitionen laufen.
  3. Bei Verdacht rät QNAP, das Gerät vom Netz zu trennen, alle Passwörter zu ändern und den QNAP-Support zu kontaktieren.

Weitere Fragen

Behebt ein DSM-Update PHP2Shell auf Synology?

Synologys Hinweis nennt, Stand 23. Oktober 2026, korrigierte Paketversionen, kein DSM-Update. Das in DSM eingebaute PHP stuft Synology als sehr geringes Risiko ein. Die Lösung ist, deine Pakete im Paketzentrum zu aktualisieren.

Wann veröffentlicht QNAP eine Korrektur?

QNAP hat es nicht gesagt. Stand 23. Oktober 2026 ist der Hinweis noch in Version 1.0 und führt alle betroffenen Produkte als „Fixing“ mit „To be announced“. Sieh in QSA-26-18 wieder nach; Daten und Versionen können sich ändern.

Ist PHP in Docker oder Container Station abgedeckt?

Nicht durch QNAPs Updates. QNAP schreibt, PHP in Containern unter Container Station oder in Anwendungen von Drittanbietern sei nicht abgedeckt, und rät, sich für eine korrigierte Version an den Anbieter des Images oder der Anwendung zu wenden. Das BSI schreibt allgemein, in Docker-Containern betriebene Anwendungen mit PHP müssten aktualisiert oder neu gebaut werden.

Ist mein NAS gefährdet, wenn es nie mit dem Internet verbunden ist?

QNAP nennt es den wirksamsten Schutz bis zur Korrektur, das Gerät vom Internet fernzuhalten. QNAP weist aber auch darauf hin, dass die Beschränkung auf vertrauenswürdige Netze nicht vor Geräten im eigenen Heimnetz schützt, die bereits kompromittiert sind.

Was ist PHP2Shell?

Der Name für zwei kritische Lücken in PHP, CVE-2026-109618 und CVE-2026-109619, bekannt gegeben am 21. Oktober 2026. Unsere Erklärung zur PHP-Sicherheitslücke beschreibt die Lücken und die korrigierten PHP-Versionen.

Quellen