群晖和威联通 NAS 受 PHP 漏洞（PHP2Shell）影响吗

MacWindows更新

群晖（Synology）和威联通（QNAP）都在 2026 年 10 月 22 日发布了关于 PHP2Shell 的安全公告，PHP2Shell 是前一天公布的两个 PHP 高危漏洞。截至 2026 年 10 月 23 日，群晖的修复已经可以在套件中心里更新。威联通的还没有：它的公告把修复版本写成“To be announced”（待公布），并给出了在此之前让 NAS 与互联网隔开的步骤。

简要回答

群晖用户：打开套件中心，点“已安装”，把所有套件更新，尤其是 PHP 套件、Synology Calendar 和 Mail Station。群晖认为 DSM 内置的 PHP 被利用的风险很低。威联通用户，截至 2026 年 10 月 23 日：还没有修复版本，请关闭端口转发和 UPnP，远程访问改用 VPN。

我的群晖 NAS 受 PHP2Shell 影响吗？

可能，要看你装了什么。群晖的安全公告 Synology-SA-26:14 于 2026 年 10 月 22 日发布，严重程度为 Critical（严重），状态为 Resolved（已解决）。公告说，系统内置的 PHP 没有暴露在外部攻击面上，被利用的风险被认为很低。

所以群晖指出的风险，在于你从套件中心另外安装的套件，而不是 DSM 本身。截至 2026 年 10 月 23 日，公告列出的修复版本如下：

  1. Synology Calendar：3.0.4-21435 或更高。
  2. Mail Station：30000002.3.19-20333 或更高。
  3. PHP 7.4：7.4.33-0131 或更高。
  4. PHP 8.0：8.0.30-0122 或更高。
  5. PHP 8.1：8.1.34-0120 或更高。
  6. PHP 8.2：8.2.35-0171 或更高。
  7. PHP 8.3：8.3.36-0051 或更高。
  8. PHP 8.4：8.4.27-0051 或更高。

群晖说，PHP 7.3 套件已经到了生命周期终点，不会提供修复。

群晖 NAS 上怎么更新套件？

群晖知识中心的“管理套件”页面说，始终保持套件处于最新状态，是维持 Synology NAS 良好状态的最佳办法。更新在“已安装”列表里进行。

  1. 用浏览器登录 DSM，打开“套件中心”。
  2. 点击左侧面板上的“已安装”，可以看到有哪些可用更新。
  3. 点击每个套件旁的“更新”，或者点击“更新全部”一次更新完。
  4. 把版本号和上面的列表对照，尤其是 PHP 套件。
  5. 想设置以后怎么接收更新，在套件中心进入“设置 > 自动更新”。
  6. 想在有更新时收到通知，进入“设置 > 常规 > 通知设置”，勾选复选框，然后点击“确定”。

群晖 NAS 需要装 PHP 吗？

DSM 有自己内置的 PHP，群晖认为它的风险很低。PHP 7.4 到 8.4 这些套件是另外的东西：只有你自己，或者你装的某个套件把它们装上了，它们才会出现在套件中心的“已安装”列表里。

  1. 打开套件中心，点击“已安装”。
  2. 找名字是 PHP 加版本号的套件。
  3. 如果你用 Web Station 架设网站，群晖关于旧版 PHP 停止支持的通知说，仍以 PHP 7.3、7.4 或 8.0 运行的网站，要到 Web Station 设置里把 PHP 配置文件切换到 PHP 8.1 或 8.2。群晖推荐的就是这两个版本。
  4. 已经装了的 PHP 套件，全部更新到修复版本。

套件中心也可以卸载套件：点击已安装的套件，在“操作”下拉菜单里选择“卸载”。如果你当初是为某个已经不用的东西装的 PHP 套件，可以考虑卸载，但先确认没有别的在用的套件依赖它。

我的威联通 NAS 受影响吗？

如果运行的是受影响的版本，就受影响。威联通的安全公告 QSA-26-18 于 2026 年 10 月 22 日发布，严重程度为 Critical（严重），列出的受影响产品包括下面这些。截至 2026 年 10 月 23 日，每一项的状态都是“Fixing”（修复中），修复版本为“To be announced”。

  1. QTS 6.1.0，以及 QTS 5.2.11 及更早版本。
  2. QuTS hero h6.1.0、h6.0.x，以及 h5.2.11 及更早版本。
  3. QuTScloud c5.2.9 及更早版本。
  4. Note Station 3 的 3.9.14 及更早版本。

公告还列出了 QNE (ADRA) 1.0.7 及更早版本、ARM32 机型上的 QVR Surveillance 3.0.3 及更早版本、TVR OS 1.0.4 及更早版本，以及 QuMagie 2.10.1 及更早版本。截至 2026 年 10 月 23 日，威联通说针对 PHP 的利用尝试已有公开报告，但它没有收到针对威联通产品的利用报告。修复发布后公告内容可能会变，依靠这份列表之前请再去看一次原页面。

威联通修复版本出来之前，NAS 该怎么设置？

威联通说，在修复版本推出之前，最有效的保护是让设备不连互联网。它给出的步骤能减少暴露，但不能完全修复漏洞。以下菜单名称按威联通英文公告的写法列出。

  1. 在路由器上关闭 NAS 的端口转发，并关闭 UPnP。
  2. 在 NAS 上进入 myQNAPcloud > Auto Router Configuration，关闭 UPnP 端口转发。
  3. 如果用不到，关闭 myQNAPcloud Link，并在 myQNAPcloud > Publish Services 里取消发布服务。
  4. 从外面访问家里的 NAS 时，通过 QVPN Service 或路由器的 VPN 连接，而不是开放网页端口。
  5. 在 QuFirewall，或 Control Panel > System > Security > Allow/Deny List 里，只允许受信任的网络或 VPN 地址访问管理端口（默认是 8080 和 443）。
  6. 在 App Center 里停用不需要的受影响应用。卸载之前先备份它们的设置和数据。
  7. 如果不用网页服务器，在 Control Panel > Applications > Web Server 里关闭它。

威联通说，停用应用和关闭网页服务器保护不了 NAS 自己的网页管理界面；断开互联网访问、使用 VPN、限制管理端口（这里的第 1 到 5 步）仍是主要的保护措施。

担心 NAS 已经被入侵怎么办？

威联通针对自己的设备给出了具体步骤。英国国家网络安全中心（NCSC）的建议是，对不能马上更新的 PHP 系统，在升级之前检查有没有被入侵的迹象和后门。更新不会清除攻击者已经装上的东西。

  1. 在威联通 NAS 上，查看 QuLog Center 里有没有你不认识的登录或访问。
  2. 用最新的病毒库运行 Security Center 和 Malware Remover。
  3. 如果怀疑已被入侵，威联通说要断开设备连接，修改所有密码，并联系威联通技术支持。

更多问题

群晖更新 DSM 能修复 PHP2Shell 吗？

截至 2026 年 10 月 23 日，群晖的公告列出的是各个套件的修复版本，而不是 DSM 更新。它认为 DSM 内置的 PHP 风险很低。修复办法是在套件中心更新套件。

威联通什么时候发布修复？

威联通没有说。截至 2026 年 10 月 23 日，它的公告仍是第一版，所有受影响产品都标为“Fixing”，修复版本为“To be announced”。请再去看 QSA-26-18，日期和版本都可能变化。

Docker 或 Container Station 里的 PHP 在修复范围内吗？

不在威联通的更新范围内。威联通说，Container Station 容器里或第三方应用里的 PHP 不在它的更新范围内，要联系镜像或应用的提供方获取修复版本。群晖的公告没有提到容器。

NAS 从不连互联网，还有风险吗？

威联通说，在修复推出之前，让设备不连互联网是最有效的保护。它也提到，把访问限制在受信任的网络里，挡不住家里网络中已经被入侵的设备。

PHP2Shell 是什么？

它是 PHP 中两个高危漏洞 CVE-2026-109618 和 CVE-2026-109619 的名字，于 2026 年 10 月 21 日公布。漏洞本身和修复版本见PHP 漏洞 PHP2Shell 解读。

来源