NAS Synology e QNAP e la vulnerabilità PHP

MacWindowsAggiornato

Synology e QNAP hanno pubblicato il 22 ottobre 2026 i loro avvisi su PHP2Shell, le due vulnerabilità critiche di PHP annunciate il giorno prima. Al 23 ottobre 2026 le correzioni di Synology sono disponibili nel Centro pacchetti. Quelle di QNAP no: il suo avviso indica le versioni corrette come «To be announced», cioè da annunciare, e spiega come isolare il NAS da internet nel frattempo.

Risposta breve

Synology: apri il Centro pacchetti, fai clic su Installato e aggiorna ogni pacchetto, in particolare i pacchetti PHP, Synology Calendar e Mail Station. Synology considera molto basso il rischio per il PHP integrato in DSM. QNAP, al 23 ottobre 2026: nessuna correzione ancora, quindi disattiva port forwarding e UPnP e usa una VPN per l'accesso da fuori casa.

PHP2Shell riguarda il mio NAS Synology?

Dipende da cosa hai installato. L'avviso di Synology, Synology-SA-26:14, pubblicato il 22 ottobre 2026, classifica il problema come critico e lo indica come risolto (Resolved). Dice che le vulnerabilità permettono ad attaccanti remoti di eseguire codice tramite versioni vulnerabili di alcuni pacchetti DSM. Aggiunge che il PHP integrato nel sistema operativo non è esposto a superfici di attacco esterne e che il rischio di sfruttamento è considerato molto basso.

L'esposizione descritta da Synology riguarda quindi i pacchetti che aggiungi dal Centro pacchetti, non DSM in sé. Al 23 ottobre 2026 queste sono le versioni corrette che elenca:

  1. Synology Calendar 3.0.4-21435 o successiva.
  2. Mail Station 30000002.3.19-20333 o successiva.
  3. PHP 7.4: 7.4.33-0131 o successiva.
  4. PHP 8.0: 8.0.30-0122 o successiva.
  5. PHP 8.1: 8.1.34-0120 o successiva.
  6. PHP 8.2: 8.2.35-0171 o successiva.
  7. PHP 8.3: 8.3.36-0051 o successiva.
  8. PHP 8.4: 8.4.27-0051 o successiva.

Synology dice che per il pacchetto PHP 7.3 non sarà fornita alcuna correzione, perché quella versione ha raggiunto la fine del ciclo di vita.

Come aggiorno i pacchetti di un NAS Synology?

La guida di Synology per la gestione dei pacchetti dice di tenere sempre aggiornati i pacchetti per conservare l'integrità del NAS. Gli aggiornamenti si fanno dall'elenco Installato.

  1. Accedi a DSM dal browser e apri il Centro pacchetti.
  2. Fai clic su Installato nel pannello di sinistra per vedere gli aggiornamenti disponibili.
  3. Fai clic su Aggiorna accanto a ogni pacchetto, oppure su Aggiorna tutto.
  4. Confronta i numeri di versione con l'elenco qui sopra, soprattutto per i pacchetti PHP.
  5. Il modo in cui arrivano gli aggiornamenti dipende dalle opzioni in Impostazioni > Aggiornamento automatico.
  6. Per ricevere una notifica via e-mail o sul desktop quando c'è un aggiornamento, fai clic su Impostazioni > Generale > Notifica, seleziona le caselle e fai clic su OK.

Mi serve PHP sul mio NAS Synology?

DSM ha un suo PHP integrato, che Synology considera a rischio molto basso. I pacchetti PHP dal 7.4 all'8.4 sono un'altra cosa: compaiono nell'elenco Installato del Centro pacchetti se li hai aggiunti tu, o un pacchetto che hai installato.

  1. Apri il Centro pacchetti e fai clic su Installato.
  2. Cerca pacchetti chiamati PHP seguiti da un numero di versione.
  3. Se ospiti siti con Web Station, l'avviso di Synology sulla fine del supporto di PHP 7.3, 7.4 e 8.0 (in inglese) chiede, per i siti che usano ancora PHP 7.3, 7.4 o 8.0, di passare nelle impostazioni di Web Station al profilo PHP 8.1 o 8.2.
  4. Aggiorna ogni pacchetto PHP presente alla versione corretta.

Il Centro pacchetti permette anche di disinstallare un pacchetto: si sceglie Disinstalla dal menu a discesa del pacchetto. Se hai aggiunto PHP per qualcosa che non usi più è un'opzione, ma prima verifica che non serva ad altro.

Il mio NAS QNAP è vulnerabile?

Sì, se usa una versione coinvolta. L'avviso di QNAP, QSA-26-18, pubblicato il 22 ottobre 2026 e classificato come critico, include tra i prodotti coinvolti quelli qui sotto. Al 23 ottobre 2026 ognuno risulta «Fixing», con versione corretta «To be announced».

  1. QTS 6.1.0, e QTS 5.2.11 e precedenti.
  2. QuTS hero h6.1.0, h6.0.x, e h5.2.11 e precedenti.
  3. QuTScloud c5.2.9 e precedenti.
  4. Note Station 3, versione 3.9.14 e precedenti.

L'avviso cita anche QNE (ADRA) 1.0.7 e precedenti, QVR Surveillance 3.0.3 e precedenti sui modelli ARM32, TVR OS 1.0.4 e precedenti e QuMagie 2.10.1 e precedenti. Al 23 ottobre 2026 QNAP scrive che sono stati segnalati pubblicamente tentativi di sfruttamento contro PHP, ma di non aver ricevuto segnalazioni di attacchi ai suoi prodotti. L'avviso può cambiare quando usciranno le correzioni: ricontrollalo prima di basarti su questo elenco.

Cosa faccio con il mio QNAP in attesa della correzione?

QNAP dice che, finché non ci sono versioni corrette, la protezione più efficace è tenere il dispositivo lontano da internet. I suoi passaggi riducono l'esposizione ma non correggono del tutto le vulnerabilità. Le voci dei menu qui sotto sono come le riporta l'avviso, in inglese.

  1. Sul router disattiva il port forwarding verso il NAS e disattiva UPnP.
  2. Sul NAS vai in myQNAPcloud > Auto Router Configuration e disattiva il port forwarding UPnP.
  3. Se non ti servono, disattiva myQNAPcloud Link e togli la pubblicazione dei servizi in myQNAPcloud > Publish Services.
  4. Per l'accesso da fuori casa, collegati tramite QVPN Service o la VPN del router invece di aprire porte web.
  5. In QuFirewall, oppure in Control Panel > System > Security > Allow/Deny List, consenti le porte di gestione (8080 e 443 per impostazione predefinita) solo da reti fidate o indirizzi VPN.
  6. In App Center arresta le app coinvolte che non usi. Fai un backup di impostazioni e dati prima di disinstallare qualcosa.
  7. Se non usi il server web integrato, disattivalo in Control Panel > Applications > Web Server.

QNAP precisa che arrestare le app e spegnere il server web non protegge l'interfaccia web di amministrazione del NAS, e che isolare il NAS da internet, usare una VPN e limitare le porte di gestione (qui i passaggi da 1 a 5) restano le protezioni principali.

E se penso che il mio NAS sia già stato compromesso?

QNAP indica passaggi specifici per i suoi dispositivi. Un aggiornamento non rimuove ciò che un attaccante ha già installato.

  1. Su un QNAP controlla QuLog Center per accessi che non riconosci.
  2. Esegui Security Center e Malware Remover con le definizioni aggiornate.
  3. Se sospetti una compromissione, QNAP dice di scollegare il dispositivo dalla rete, cambiare tutte le password e contattare l'assistenza QNAP.

Altre domande

Un aggiornamento di DSM corregge PHP2Shell su Synology?

L'avviso di Synology, al 23 ottobre 2026, elenca versioni corrette dei pacchetti, non un aggiornamento di DSM. Considera molto basso il rischio per il PHP integrato in DSM. La correzione è aggiornare i pacchetti dal Centro pacchetti.

Quando arriverà la correzione di QNAP?

QNAP non l'ha detto. Al 23 ottobre 2026 il suo avviso, ancora alla prima versione, indica ogni prodotto come «Fixing» con versione corretta «To be announced». Ricontrolla QSA-26-18.

Il PHP dentro Docker o Container Station è coperto?

Non dagli aggiornamenti di QNAP. QNAP dice che il PHP incluso nei container di Container Station o in applicazioni di terze parti non è coperto, e di chiedere una versione corretta a chi fornisce l'immagine o l'applicazione. L'avviso di Synology non parla di container.

Il mio NAS è a rischio se non è mai collegato a internet?

QNAP considera la separazione da internet la protezione più efficace in attesa della correzione. Nota anche che limitare l'accesso alle reti fidate non protegge da dispositivi della rete di casa già compromessi.

Che cos'è PHP2Shell?

È il nome usato per due vulnerabilità critiche di PHP, CVE-2026-109618 e CVE-2026-109619, annunciate il 21 ottobre 2026. La guida alla vulnerabilità PHP spiega il resto.

Fonti