Synology en QNAP NAS en de PHP-kwetsbaarheid

MacWindowsBijgewerkt

Synology en QNAP publiceerden allebei op 22 oktober 2026 een advies over PHP2Shell, de twee kritieke PHP-kwetsbaarheden die een dag eerder bekend werden. Bijgewerkt tot 23 oktober 2026: de fixes van Synology staan in Package Center. Die van QNAP nog niet. Het advies van QNAP vermeldt de herstelde versies als "To be announced" en geeft stappen om je NAS tot die tijd van internet af te schermen.

Kort antwoord

Synology: open Package Center, klik op Geïnstalleerd en werk elk pakket bij, vooral PHP-pakketten, Synology Calendar en Mail Station. Synology schat het risico van de ingebouwde PHP in DSM als zeer laag in. QNAP, bijgewerkt tot 23 oktober 2026: nog geen fix, dus zet port forwarding en UPnP uit en gebruik een VPN voor toegang van buitenaf.

Raakt PHP2Shell mijn Synology NAS?

Misschien, afhankelijk van wat je hebt geïnstalleerd. Het advies Synology-SA-26:14 van 22 oktober 2026 noemt het probleem Critical en heeft de status Resolved. Volgens Synology kunnen aanvallers op afstand code uitvoeren via kwetsbare versies van bepaalde DSM-pakketten. Over de PHP die in het besturingssysteem is ingebouwd, zegt Synology dat die niet bloot staat aan aanvallen van buitenaf en dat het risico op misbruik zeer laag is.

Het risico dat Synology beschrijft zit dus in de pakketten die je uit Package Center toevoegt, niet in DSM zelf. Dit zijn de herstelde versies die Synology noemt, bijgewerkt tot 23 oktober 2026:

  1. Synology Calendar 3.0.4-21435 of hoger.
  2. Mail Station 30000002.3.19-20333 of hoger.
  3. PHP 7.4: 7.4.33-0131 of hoger.
  4. PHP 8.0: 8.0.30-0122 of hoger.
  5. PHP 8.1: 8.1.34-0120 of hoger.
  6. PHP 8.2: 8.2.35-0171 of hoger.
  7. PHP 8.3: 8.3.36-0051 of hoger.
  8. PHP 8.4: 8.4.27-0051 of hoger.

Voor het pakket PHP 7.3 komt volgens Synology geen fix, omdat die versie end-of-life is.

Hoe werk ik pakketten bij op een Synology NAS?

De Nederlandse helppagina van Synology over Package Center zegt dat de beste manier om je NAS gezond te houden is je pakketten altijd bij te werken. Dat doe je vanuit de lijst met geïnstalleerde pakketten.

  1. Meld je in je browser aan bij DSM en open Package Center.
  2. Klik in het linkerdeelvenster op Geïnstalleerd om de beschikbare updates te zien.
  3. Klik op Bijwerken bij elk pakket, of op Alles bijwerken.
  4. Vergelijk de versienummers met de lijst hierboven, vooral bij PHP-pakketten.
  5. Hoe updates binnenkomen, stel je in onder Instellingen > Automatisch update.
  6. Wil je een melding op je bureaublad of per e-mail als er updates zijn, ga dan naar Instellingen > Algemeen > Melding, vink de vakjes aan en klik op OK.

Heb ik PHP nodig op mijn Synology NAS?

DSM heeft zijn eigen ingebouwde PHP, die Synology als zeer laag risico inschat. De pakketten PHP 7.4 tot en met 8.4 staan daar los van: ze staan in de lijst Geïnstalleerd als jij, of een pakket dat je installeerde, ze heeft toegevoegd.

  1. Open Package Center en klik op Geïnstalleerd.
  2. Zoek naar pakketten met de naam PHP gevolgd door een versienummer.
  3. Host je websites met Web Station, dan zegt de mededeling van Synology over oudere PHP-versies dat elke site draait op een PHP-profiel dat je in de instellingen van Web Station kiest. Synology raadt PHP 8.1 of 8.2 aan en zegt dat je sites op PHP 7.3, 7.4 of 8.0 moet omzetten.
  4. Werk elk PHP-pakket dat er staat bij naar de herstelde versie.

Volgens de helppagina kun je een pakket ook verwijderen, via Installatie ongedaan maken. Heb je een PHP-pakket toegevoegd voor iets wat je niet meer gebruikt, dan is dat een optie. Controleer eerst of niets anders wat je gebruikt ervan afhankelijk is. Synology zegt ook dat bepaalde pakketten deel uitmaken van DSM en niet kunnen worden verwijderd.

Is mijn QNAP NAS getroffen?

Ja, als hij een getroffen versie draait. Het advies QSA-26-18 van QNAP, gepubliceerd op 22 oktober 2026 en Critical genoemd, noemt onder meer deze producten. Bijgewerkt tot 23 oktober 2026 staan ze allemaal op "Fixing", met als herstelde versie "To be announced".

  1. QTS 6.1.0, en QTS 5.2.11 en ouder.
  2. QuTS hero h6.1.0, h6.0.x, en h5.2.11 en ouder.
  3. QuTScloud c5.2.9 en ouder.
  4. Note Station 3, versie 3.9.14 en ouder.

Het advies noemt ook QNE (ADRA) 1.0.7 en ouder, QVR Surveillance 3.0.3 en ouder op ARM32-modellen, TVR OS 1.0.4 en ouder, en QuMagie 2.10.1 en ouder. QNAP schrijft dat pogingen tot misbruik van PHP publiekelijk zijn gerapporteerd, maar dat het geen meldingen heeft gekregen van misbruik gericht op QNAP-producten. Het advies kan veranderen zodra er fixes zijn, dus kijk de pagina opnieuw na.

Het NCSC houdt op GitHub een lijst bij van softwareproducten met een PHP-afhankelijkheid die mogelijk getroffen zijn. De lijst wordt bijgewerkt naarmate de situatie verandert.

Wat doe ik met mijn QNAP NAS tot er een fix is?

QNAP zegt dat de meest effectieve bescherming tot die tijd is het apparaat van internet af te houden. De stappen verkleinen het risico, maar lossen de kwetsbaarheden niet volledig op. De menunamen hieronder zijn die uit het Engelstalige advies.

  1. Zet op je router port forwarding naar de NAS uit, en zet UPnP uit.
  2. Ga op de NAS naar myQNAPcloud > Auto Router Configuration en zet UPnP port forwarding uit.
  3. Heb je ze niet nodig, zet dan myQNAPcloud Link uit en haal diensten offline onder myQNAPcloud > Publish Services.
  4. Gebruik voor toegang van buitenaf QVPN Service of de VPN van je router, in plaats van webpoorten open te zetten.
  5. Sta in QuFirewall, of onder Control Panel > System > Security > Allow/Deny List, de beheerpoorten (standaard 8080 en 443) alleen toe vanaf vertrouwde netwerken of VPN-adressen.
  6. Stop in App Center getroffen apps die je niet nodig hebt. Maak een back-up van hun instellingen en gegevens voordat je iets verwijdert.
  7. Gebruik je de webserver niet, zet hem dan uit onder Control Panel > Applications > Web Server.

QNAP zegt dat apps stoppen en de webserver uitzetten de eigen beheerpagina van de NAS niet beschermen. Internettoegang afsluiten, een VPN gebruiken en de beheerpoorten beperken (stap 1 tot en met 5 hier) blijven de belangrijkste bescherming.

Wat als mijn NAS al is binnengedrongen?

QNAP geeft eigen stappen voor zijn apparaten:

  1. Bekijk QuLog Center op aanmeldingen of toegang die je niet herkent.
  2. Draai Security Center en Malware Remover met actuele definities.
  3. Vermoed je een inbraak, koppel het apparaat dan los, wijzig alle wachtwoorden en neem contact op met QNAP Support.

Meer vragen

Lost een DSM-update PHP2Shell op Synology op?

Het advies van Synology noemt, bijgewerkt tot 23 oktober 2026, herstelde pakketversies en geen DSM-update. Het schat de ingebouwde PHP in DSM als zeer laag risico in. De oplossing is je pakketten bijwerken in Package Center.

Wanneer komt QNAP met een fix?

QNAP heeft dat niet gezegd. Bijgewerkt tot 23 oktober 2026 staat het advies nog op versie 1.0, met elk getroffen product op "Fixing" en de herstelde versie als "To be announced". Kijk QSA-26-18 opnieuw na.

Valt PHP in Docker of Container Station hieronder?

Niet onder de updates van QNAP. QNAP zegt dat PHP in containers van Container Station of in apps van derden niet wordt gedekt, en dat je de maker van de image of app om een herstelde versie vraagt. Het advies van Synology noemt containers niet.

Loopt mijn NAS risico als hij nooit met internet verbonden is?

QNAP noemt het apparaat van internet afhouden de meest effectieve bescherming tot er een fix is. Het merkt ook op dat toegang beperken tot vertrouwde netwerken niet beschermt tegen apparaten in je eigen netwerk die al zijn binnengedrongen.

Bronnen