NAS Synology y QNAP y la vulnerabilidad de PHP

MacWindowsActualizado

Synology y QNAP publicaron el 22 de octubre de 2026 sendos avisos sobre PHP2Shell, los dos fallos críticos de PHP (CVE-2026-109618 y CVE-2026-109619) anunciados el día anterior, e INCIBE-CERT los recogió el 23 de octubre en avisos de importancia crítica. A 23 de octubre de 2026, las correcciones de Synology ya están en el Centro de paquetes. Las de QNAP no: su aviso indica las versiones corregidas como "To be announced" (por anunciar) y da pasos para aislar el NAS de internet mientras tanto.

Respuesta rápida

Si tienes un Synology, abre el Centro de paquetes, haz clic en Instalado y actualiza todos los paquetes, sobre todo cualquier paquete PHP, Synology Calendar y Mail Station. Synology considera muy bajo el riesgo del PHP integrado en DSM. Si tienes un QNAP, a 23 de octubre de 2026 no hay corrección: desactiva la redirección de puertos y UPnP, y usa una VPN para el acceso remoto.

¿Afecta PHP2Shell a mi NAS Synology?

Puede afectarle, según lo que tengas instalado. El aviso de Synology, Synology-SA-26:14, publicado el 22 de octubre de 2026, califica el problema como crítico y lo marca como resuelto. Dice que las vulnerabilidades permiten a atacantes remotos ejecutar código a través de versiones vulnerables de ciertos paquetes de DSM. También dice que el PHP integrado en el sistema operativo no está expuesto a superficies de ataque externas y que el riesgo de explotación ahí es muy bajo. El aviso de INCIBE-CERT sobre Synology recoge lo mismo.

A 23 de octubre de 2026, estas son las versiones corregidas de paquetes que indica Synology:

  1. Synology Calendar 3.0.4-21435 o posterior.
  2. Mail Station 30000002.3.19-20333 o posterior.
  3. PHP 7.4: 7.4.33-0131 o posterior.
  4. PHP 8.0: 8.0.30-0122 o posterior.
  5. PHP 8.1: 8.1.34-0120 o posterior.
  6. PHP 8.2: 8.2.35-0171 o posterior.
  7. PHP 8.3: 8.3.36-0051 o posterior.
  8. PHP 8.4: 8.4.27-0051 o posterior.

Synology dice que no habrá corrección para el paquete PHP 7.3, porque esa versión ha llegado al final de su vida útil.

¿Cómo actualizo los paquetes de un NAS Synology?

La ayuda de Synology dice que la mejor forma de mantener en buen estado tu NAS es mantener sus paquetes actualizados.

  1. Inicia sesión en DSM desde el navegador y abre el Centro de paquetes.
  2. Haz clic en Instalado en el panel izquierdo. Ahí aparecen los paquetes con actualizaciones disponibles.
  3. Haz clic en Actualizar junto a cada uno, o en Actualizar todo para hacerlos de una vez.
  4. Compara los números de versión con la lista de arriba, sobre todo en los paquetes PHP.
  5. Para elegir cómo llegarán las actualizaciones en el futuro, ve a Configuración > Actualización automática dentro del Centro de paquetes.
  6. Para recibir un aviso cuando haya actualizaciones, ve a Configuración > General > Notificación, marca las casillas y haz clic en OK.

¿Necesito PHP en mi Synology?

DSM tiene su propio PHP integrado, que Synology considera de riesgo muy bajo. Los paquetes de PHP 7.4 a 8.4 son aparte: aparecen en la lista Instalado del Centro de paquetes si los añadiste tú, o un paquete que instalaste.

  1. Abre el Centro de paquetes y haz clic en Instalado.
  2. Busca paquetes llamados PHP seguidos de un número de versión.
  3. Si alojas webs con Web Station, el aviso de Synology sobre versiones antiguas de PHP explica que cada sitio funciona con un perfil de PHP elegido en la configuración de Web Station. Synology recomienda PHP 8.1 u 8.2, y pide cambiar cualquier sitio que siga en PHP 7.3, 7.4 u 8.0.

El Centro de paquetes también permite desinstalar un paquete: haz clic en él y elige Desinstalar. Si añadiste un paquete PHP para algo que ya no usas, es una opción, pero comprueba antes que nada de lo que usas dependa de él.

¿Está afectado mi NAS QNAP?

Sí, si usa una versión afectada. El aviso de QNAP, QSA-26-18, publicado el 22 de octubre de 2026 y calificado como crítico, incluye estos productos entre los afectados. A 23 de octubre de 2026 todos figuran en estado "Fixing" (en corrección), con la versión corregida "To be announced". El aviso de INCIBE-CERT sobre QNAP lo resume así: "QNAP todavía no ha anunciado versiones corregidas".

  1. QTS 6.1.0, y QTS 5.2.11 y anteriores.
  2. QuTS hero h6.1.0, h6.0.x, y h5.2.11 y anteriores.
  3. QuTScloud c5.2.9 y anteriores.
  4. Note Station 3, versión 3.9.14 y anteriores.

El aviso también menciona QNE (ADRA) 1.0.7 y anteriores, QVR Surveillance 3.0.3 y anteriores en modelos ARM32, TVR OS 1.0.4 y anteriores, y QuMagie 2.10.1 y anteriores. A 23 de octubre de 2026, QNAP dice que se han comunicado públicamente intentos de explotación contra PHP, pero que no ha recibido informes de explotación dirigida a sus productos. El aviso puede cambiar cuando salgan las correcciones, así que vuelve a consultarlo.

¿Qué hago con mi QNAP hasta que haya solución?

QNAP dice que, hasta que haya versiones corregidas, la protección más eficaz es mantener el aparato fuera de internet. Sus pasos reducen la exposición, pero no corrigen del todo los fallos. Los nombres de menú siguientes son los del aviso de QNAP, en inglés; si tu QTS está en español pueden aparecer traducidos.

  1. En tu router, desactiva la redirección de puertos hacia el NAS y desactiva UPnP.
  2. En el NAS, ve a myQNAPcloud > Auto Router Configuration y desactiva la redirección de puertos por UPnP.
  3. Si no los necesitas, desactiva myQNAPcloud Link y deja de publicar servicios en myQNAPcloud > Publish Services.
  4. Para acceder desde fuera de casa, conéctate con QVPN Service o con la VPN de tu router en lugar de abrir puertos web.
  5. En QuFirewall, o en Control Panel > System > Security > Allow/Deny List, permite los puertos de administración (8080 y 443 por defecto) solo desde redes de confianza o direcciones de la VPN.
  6. En App Center, detén las apps afectadas que no necesites. Haz una copia de su configuración y sus datos antes de desinstalar nada.
  7. Si no usas el servidor web, desactívalo en Control Panel > Applications > Web Server.

QNAP dice que detener apps y apagar el servidor web (pasos 6 y 7) no protege la propia página de administración del NAS, y que los pasos 1 a 5 siguen siendo las protecciones principales.

¿Y si creo que alguien ya ha entrado en mi NAS?

QNAP da pasos concretos para sus aparatos. El consejo del NCSC, el centro de ciberseguridad del Reino Unido, para un sistema con PHP que no se pueda actualizar enseguida, es revisarlo en busca de señales de intrusión y puertas traseras antes de actualizar. Una actualización no elimina lo que un atacante ya haya instalado.

  1. En un QNAP, revisa QuLog Center en busca de inicios de sesión o accesos que no reconozcas.
  2. Ejecuta Security Center y Malware Remover con las definiciones al día.
  3. Si sospechas una intrusión, QNAP pide desconectar el aparato de la red, cambiar todas las contraseñas y contactar con el soporte de QNAP.

En España, la Línea de Ayuda en Ciberseguridad de INCIBE, el 017, es gratuita y confidencial si necesitas orientación.

Más preguntas

¿Una actualización de DSM corrige PHP2Shell en Synology?

A 23 de octubre de 2026, el aviso de Synology indica versiones corregidas de paquetes, no una actualización de DSM. Considera muy bajo el riesgo del PHP integrado en DSM. La solución es actualizar tus paquetes en el Centro de paquetes.

¿Cuándo sacará QNAP la corrección?

QNAP no lo ha dicho. A 23 de octubre de 2026 su aviso sigue en su primera versión. Vuelve a consultar QSA-26-18.

¿Cubre la corrección el PHP dentro de Docker o Container Station?

No con las actualizaciones de QNAP. QNAP dice que el PHP dentro de contenedores de Container Station o de aplicaciones de terceros no está cubierto, y que hay que pedir una versión corregida al proveedor de la imagen o de la aplicación. El aviso de Synology no menciona contenedores.

¿Corre riesgo mi NAS si nunca se conecta a internet?

QNAP considera que mantener el aparato fuera de internet es la protección más eficaz hasta que haya corrección. También advierte de que limitar el acceso a redes de confianza no protege frente a aparatos de tu red de casa que ya estén comprometidos.

Fuentes