NAS Synology e QNAP e a vulnerabilidade do PHP

MacWindowsAtualizado

A Synology e a QNAP publicaram comunicados em 22 de outubro de 2026 sobre o PHP2Shell, as duas falhas críticas do PHP anunciadas no dia anterior. Em 23 de outubro de 2026, as correções da Synology já estão no Centro de pacotes. As da QNAP ainda não: o comunicado dela traz as versões corrigidas como "To be announced" (a anunciar) e dá passos para tirar o NAS da internet até lá.

Resposta rápida

Se você tem um Synology, abra o Centro de pacotes, vá para a lista de pacotes instalados e atualize todos, principalmente os pacotes PHP, o Synology Calendar e o Mail Station. A Synology considera muito baixo o risco do PHP embutido no DSM. Se você tem um QNAP, em 23 de outubro de 2026 não há correção: desative o redirecionamento de portas e o UPnP e use VPN para o acesso remoto.

O PHP2Shell afeta o meu NAS Synology?

Pode afetar, dependendo do que você instalou. O comunicado da Synology, o Synology-SA-26:14, publicado em 22 de outubro de 2026 e disponível só em inglês, classifica o problema como Critical e marca o status como Resolved (resolvido). Ele diz que as vulnerabilidades permitem que atacantes remotos executem código por meio de versões suscetíveis de alguns pacotes do DSM. Diz também que o PHP embutido no sistema operacional não fica exposto a superfícies de ataque externas, e que o risco de exploração ali é considerado muito baixo.

Ou seja, a exposição que a Synology descreve está nos pacotes que você adiciona pelo Centro de pacotes, não no DSM em si. Em 23 de outubro de 2026, estas são as versões corrigidas que ela lista:

  1. Synology Calendar 3.0.4-21435 ou posterior.
  2. Mail Station 30000002.3.19-20333 ou posterior.
  3. PHP 7.4: 7.4.33-0131 ou posterior.
  4. PHP 8.0: 8.0.30-0122 ou posterior.
  5. PHP 8.1: 8.1.34-0120 ou posterior.
  6. PHP 8.2: 8.2.35-0171 ou posterior.
  7. PHP 8.3: 8.3.36-0051 ou posterior.
  8. PHP 8.4: 8.4.27-0051 ou posterior.

A Synology diz que não haverá correção para o pacote PHP 7.3, porque essa versão chegou ao fim da vida útil.

Como atualizar os pacotes de um NAS Synology?

A página de ajuda da Synology sobre o Centro de pacotes, disponível em inglês, chama manter os pacotes atualizados de melhor prática para a saúde do NAS. A atualização é feita pela lista de pacotes instalados. Os nomes entre parênteses são os da ajuda em inglês.

  1. Entre no DSM pelo navegador e abra o Centro de pacotes.
  2. No painel da esquerda, abra a lista de pacotes instalados (Installed). Os pacotes com atualização pendente aparecem ali.
  3. Clique em atualizar (Update) ao lado de cada um, ou em atualizar tudo (Update All) para fazer todos de uma vez.
  4. Confira os números de versão com a lista acima, principalmente nos pacotes PHP.
  5. Para escolher como as atualizações chegam no futuro, use a atualização automática (Settings > Auto Update) nas configurações do Centro de pacotes.
  6. Para ser avisado de novas atualizações por e-mail ou na área de trabalho, use as notificações (Settings > General > Notification), marque as opções e clique em OK.

Preciso de PHP no meu Synology?

O DSM tem um PHP embutido, que a Synology considera de risco muito baixo. Os pacotes PHP 7.4 a 8.4 são separados: eles aparecem na lista de instalados do Centro de pacotes se você, ou um pacote que você instalou, os adicionou.

  1. Abra o Centro de pacotes e vá para a lista de pacotes instalados.
  2. Procure pacotes chamados PHP seguidos de um número de versão.
  3. Se você hospeda sites com o Web Station, o aviso da Synology sobre versões antigas do PHP diz para trocar, nas configurações do Web Station, o perfil de PHP (PHP Profile) dos sites que ainda estão no PHP 7.3, 7.4 ou 8.0 para o PHP 8.1 ou 8.2.
  4. Atualize todos os pacotes PHP que estiverem lá para a versão corrigida.

O Centro de pacotes também permite desinstalar um pacote. Se você adicionou um pacote PHP para algo que não usa mais, essa é uma opção, mas confira antes se nada do que você usa depende dele.

O meu NAS QNAP é afetado?

Sim, se ele roda uma versão afetada. O comunicado da QNAP, o QSA-26-18, publicado em 22 de outubro de 2026 e classificado como Critical, lista estes entre os produtos afetados. Em 23 de outubro de 2026, todos aparecem como "Fixing" (em correção), com a versão corrigida "To be announced".

  1. QTS 6.1.0, e QTS 5.2.11 e anteriores.
  2. QuTS hero h6.1.0, h6.0.x, e h5.2.11 e anteriores.
  3. QuTScloud c5.2.9 e anteriores.
  4. Note Station 3, versão 3.9.14 e anteriores.

O comunicado cita ainda o QNE (ADRA) 1.0.7 e anteriores, o QVR Surveillance 3.0.3 e anteriores em modelos ARM32, o TVR OS 1.0.4 e anteriores e o QuMagie 2.10.1 e anteriores. Em 23 de outubro de 2026, a QNAP diz que tentativas de exploração contra o PHP foram relatadas publicamente, mas que ela não recebeu relatos de exploração contra produtos QNAP. O comunicado pode mudar quando as correções saírem.

O que fazer com o meu QNAP até a correção chegar?

A QNAP diz que, até as versões corrigidas saírem, a proteção mais eficaz é manter o aparelho fora da internet. Os passos dela reduzem a exposição, mas não corrigem as falhas por completo. Os menus abaixo estão como aparecem no comunicado, em inglês.

  1. No roteador, desative o redirecionamento de portas para o NAS e desative o UPnP.
  2. No NAS, vá em myQNAPcloud > Auto Router Configuration e desative o redirecionamento de portas por UPnP.
  3. Se não precisar deles, desative o myQNAPcloud Link e despublique os serviços em myQNAPcloud > Publish Services.
  4. Para acessar de fora de casa, conecte pelo QVPN Service ou pela VPN do roteador, em vez de abrir portas web.
  5. No QuFirewall, ou em Control Panel > System > Security > Allow/Deny List, libere as portas de administração (8080 e 443 por padrão) só para redes confiáveis ou endereços de VPN.
  6. No App Center, pare os apps afetados de que você não precisa. Faça backup das configurações e dos dados deles antes de desinstalar qualquer coisa.
  7. Se não usa o servidor web, desative-o em Control Panel > Applications > Web Server.

A QNAP diz que parar apps e desligar o servidor web não protege a própria página de administração do NAS, e que cortar o acesso pela internet, usar VPN e limitar as portas de administração (os passos 1 a 5 aqui) continuam sendo as principais proteções.

E se eu achar que o meu NAS já foi invadido?

A QNAP dá passos específicos para os aparelhos dela.

  1. Num QNAP, revise o QuLog Center em busca de logins ou acessos que você não reconhece.
  2. Rode o Security Center e o Malware Remover com as definições mais recentes.
  3. Se suspeitar de invasão, a QNAP diz para desconectar o aparelho da rede, trocar todas as senhas e falar com o suporte da QNAP.

Mais perguntas

Uma atualização do DSM corrige o PHP2Shell no Synology?

Em 23 de outubro de 2026, o comunicado da Synology lista versões corrigidas de pacotes, não uma atualização do DSM. Ele considera muito baixo o risco do PHP embutido no DSM. A correção é atualizar os pacotes no Centro de pacotes.

Quando a QNAP vai lançar a correção?

A QNAP não informou. Em 23 de outubro de 2026, o comunicado, ainda na primeira versão, lista todos os produtos afetados como "Fixing", com versão corrigida "To be announced". Confira o QSA-26-18 de novo, porque datas e versões podem mudar.

O PHP dentro do Docker ou do Container Station está coberto?

Não pelas atualizações da QNAP. Ela diz que o PHP incluído em contêineres do Container Station ou em apps de terceiros não é coberto, e que você deve procurar o fornecedor da imagem ou do app para uma versão corrigida. O comunicado da Synology não fala de contêineres.

O meu NAS corre risco se nunca se conecta à internet?

A QNAP chama manter o aparelho fora da internet de proteção mais eficaz até a correção. Ela também observa que limitar o acesso a redes confiáveis não protege contra aparelhos da sua rede doméstica que já estejam comprometidos.

Fontes