Faille PHP sur NAS Synology et QNAP : ce qu'il faut faire

MacWindowsMis à jour 2026-10-31

Synology et QNAP ont publié le 22 octobre 2026 des avis de sécurité sur PHP2Shell, les deux failles critiques de PHP annoncées la veille. Au 23 octobre 2026, les correctifs de Synology sont disponibles dans le Centre de paquets. Ceux de QNAP ne le sont pas : son avis indique que les versions corrigées sont « à annoncer » et donne des étapes pour couper votre NAS d'Internet d'ici là.

Réponse rapide

Synology : ouvrez le Centre de paquets, cliquez sur Installé et mettez à jour chaque paquet, en particulier les paquets PHP, Synology Calendar et Mail Station. Synology juge très faible le risque pour le PHP intégré à DSM. QNAP, au 23 octobre 2026 : pas encore de correctif, donc désactivez la redirection de ports et l'UPnP, et passez par un VPN pour l'accès à distance.

La faille PHP touche-t-elle mon NAS Synology ?

Cela dépend de ce que vous avez installé. L'avis de Synology, Synology-SA-26:14, publié le 22 octobre 2026, classe le problème comme critique et le marque comme résolu. Il indique que les failles permettent à des attaquants distants d'exécuter du code via des versions vulnérables de certains paquets DSM, et que le PHP intégré au système n'est pas exposé à des surfaces d'attaque externes, avec un risque d'exploitation considéré comme très faible. Au 23 octobre 2026, voici les versions corrigées qu'il liste :

Synology Calendar 3.0.4-21435 ou ultérieure.
Mail Station 30000002.3.19-20333 ou ultérieure.
PHP 7.4 : 7.4.33-0131 ou ultérieure.
PHP 8.0 : 8.0.30-0122 ou ultérieure.
PHP 8.1 : 8.1.34-0120 ou ultérieure.
PHP 8.2 : 8.2.35-0171 ou ultérieure.
PHP 8.3 : 8.3.36-0051 ou ultérieure.
PHP 8.4 : 8.4.27-0051 ou ultérieure.

Synology indique qu'aucun correctif ne sera fourni pour le paquet PHP 7.3, cette version étant arrivée en fin de vie. L'avis est en anglais.

Comment mettre à jour les paquets d'un NAS Synology ?

Le centre de connaissances de Synology présente le fait de toujours garder ses paquets à jour comme la meilleure pratique pour maintenir un NAS en bon état.

Connectez-vous à DSM dans votre navigateur et ouvrez le Centre de paquets.
Cliquez sur Installé dans le panneau de gauche. Les mises à jour disponibles y apparaissent.
Cliquez sur Mettre à jour pour chaque paquet, ou sur Tout mettre à jour.
Comparez les numéros de version avec la liste ci-dessus, surtout pour les paquets PHP.
Les options de Paramètres > Mise à jour auto règlent l'arrivée des mises à jour. Pour être prévenu par e-mail ou sur le bureau, allez dans Paramètres > Général > Notification, cochez les cases et cliquez sur OK.

Ai-je besoin de PHP sur mon NAS Synology ?

DSM a son propre PHP intégré, que Synology juge très peu exposé. Les paquets PHP sont autre chose : ils apparaissent dans la liste Installé si vous les avez ajoutés, ou si un autre paquet l'a fait.

Ouvrez le Centre de paquets et cliquez sur Installé.
Cherchez les paquets nommés PHP suivis d'un numéro de version.
Si vous hébergez des sites avec Web Station, la notice de Synology sur la fin du support de PHP 7.3, 7.4 et 8.0 indique de passer le profil PHP à PHP 8.1 ou 8.2 dans les paramètres de Web Station, pour les sites qui utilisent encore ces anciennes versions.
Mettez à jour chaque paquet PHP présent vers la version corrigée.

Le Centre de paquets permet aussi de désinstaller un paquet PHP dont vous n'avez plus l'usage, après avoir vérifié qu'aucun autre service ne s'en sert.

Mon NAS QNAP est-il touché ?

Oui, s'il utilise une version concernée. L'avis de QNAP, QSA-26-18, publié le 22 octobre 2026 et classé critique, cite notamment ces produits. Au 23 octobre 2026, ils sont tous marqués « Fixing » (correction en cours), avec une version corrigée « To be announced » (à annoncer).

QTS 6.1.0, et QTS 5.2.11 et versions antérieures.
QuTS hero h6.1.0, h6.0.x, et h5.2.11 et versions antérieures.
QuTScloud c5.2.9 et versions antérieures.
Note Station 3, version 3.9.14 et antérieures.

L'avis cite aussi QNE (ADRA) 1.0.7 et antérieures, QVR Surveillance 3.0.3 et antérieures sur les modèles ARM32, TVR OS 1.0.4 et antérieures, et QuMagie 2.10.1 et antérieures. Au 23 octobre 2026, QNAP indique que des tentatives d'exploitation visant PHP ont été rapportées publiquement, mais qu'il n'a reçu aucun signalement d'exploitation visant ses produits. Son avis peut changer quand les correctifs sortiront : vérifiez la page.

Que faire avec mon NAS QNAP en attendant un correctif ?

QNAP indique que, en attendant les versions corrigées, la protection la plus efficace est de garder l'appareil hors d'Internet. Les noms de menus ci-dessous sont ceux de son avis, en anglais.

Sur votre box ou votre routeur, désactivez la redirection de ports vers le NAS, et désactivez l'UPnP.
Sur le NAS, allez dans myQNAPcloud > Auto Router Configuration et désactivez la redirection de ports UPnP.
Si vous n'en avez pas besoin, désactivez myQNAPcloud Link et retirez la publication des services dans myQNAPcloud > Publish Services.
Pour accéder au NAS depuis l'extérieur, passez par QVPN Service ou par le VPN de votre routeur plutôt que d'ouvrir des ports web.
Dans QuFirewall, ou dans Control Panel > System > Security > Allow/Deny List, n'autorisez les ports d'administration (8080 et 443 par défaut) que depuis des réseaux de confiance ou des adresses VPN.
Dans App Center, arrêtez les applications concernées dont vous n'avez pas besoin. Sauvegardez leurs réglages et leurs données avant de désinstaller quoi que ce soit.
Si vous n'utilisez pas le serveur web, désactivez-le dans Control Panel > Applications > Web Server.

QNAP précise qu'arrêter des applications et couper le serveur web ne protège pas la page d'administration web du NAS lui-même, et que couper l'accès Internet, utiliser un VPN et limiter les ports d'administration (les étapes 1 à 5 ici) restent les principales protections.

Et si je pense que mon NAS a déjà été compromis ?

QNAP donne des étapes propres à ses appareils. Une mise à jour n'enlève pas ce qu'un attaquant a déjà installé.

Sur un QNAP, consultez QuLog Center pour repérer des connexions ou des accès que vous ne reconnaissez pas.
Lancez Security Center et Malware Remover avec des définitions à jour.
Si vous soupçonnez une compromission, QNAP demande de déconnecter l'appareil, de changer tous les mots de passe et de contacter le support QNAP.

En France, le service 17Cyber, gratuit et disponible 24h/24 et 7j/7, propose aux victimes un diagnostic et des conseils.

Autres questions

Une mise à jour de DSM corrige-t-elle PHP2Shell sur Synology ?

Au 23 octobre 2026, l'avis de Synology liste des versions corrigées de paquets, pas une mise à jour de DSM. Il juge très faible le risque pour le PHP intégré à DSM. La correction consiste à mettre à jour vos paquets dans le Centre de paquets.

Quand QNAP publiera-t-il un correctif ?

QNAP ne l'a pas dit. Au 23 octobre 2026, son avis, toujours dans sa première version, indique pour chaque produit concerné une correction en cours et une version corrigée à annoncer. Consultez de nouveau QSA-26-18, la date et les versions peuvent changer.

Le PHP des conteneurs Docker ou de Container Station est-il couvert ?

Pas par les mises à jour de QNAP. QNAP indique que le PHP présent dans les conteneurs de Container Station ou dans des applications tierces n'est pas couvert, et qu'il faut demander une version corrigée au fournisseur de l'image ou de l'application. L'avis de Synology ne parle pas des conteneurs.

Mon NAS est-il en danger s'il n'est jamais relié à Internet ?

QNAP présente le fait de garder l'appareil hors d'Internet comme la protection la plus efficace en attendant un correctif. Il précise aussi que limiter l'accès aux réseaux de confiance ne protège pas contre des appareils de votre réseau local qui seraient déjà compromis.

Qu'est-ce que PHP2Shell ?

C'est le nom donné à deux failles critiques de PHP, CVE-2026-109618 et CVE-2026-109619, corrigées le 21 octobre 2026. Notre guide sur la faille PHP les présente.