QNAP adviseert gebruikers nassystemen van internet te halen vanwege PHP-gaten

De twee kritieke kwetsbaarheden in PHP die woensdag openbaar zijn gemaakt raken niet alleen websites, maar ook nasapparaten. Fabrikant QNAP adviseert gebruikers een dag nadat PHP2Shell uitkwam hun nassystemen te ontkoppelen van internet. QNAP werkt aan updates voor zijn software.

Totdat fixes voor QNAP-producten beschikbaar zijn, is het volgens de leverancier het beste om apparaten offline te houden. Dat is 'de meest effectieve bescherming', stelt QNAP in een beveiligingsadvies van donderdag 22 oktober. In dat bericht geeft het bedrijf ook tips om blootstelling aan de twee grote PHP-gaten te beperken. Aanvallers kunnen daarmee systemen overnemen. De aangereikte stappen verhelpen de kwetsbaarheden niet, waarschuwt QNAP.

Ontkoppelen en deels uitschakelen

Het bedrijf adviseert klanten is om hun nasapparaten te ontkoppelen van internet. Daarbij moeten ze ook portforwarding in hun routers uitschakelen, Universal Plug and Play (UPnP) op nassystemen uitzetten, de link met clouddiensten van QNAP uitschakelen en draaiende onlinediensten op nasapparaten depubliceren in myQNAPcloud. Toegang tot nasapparaten kan nog wel via een virtual private network (vpn), aldus QNAP.

Naast bovenstaande tips kunnen gebruikers ook de toegang beperken tot alleen vertrouwde netwerken. Verder is het verstandig om op PHP gebaseerde diensten en apps op QNAP-producten tijdelijk stop te zetten. Die laatste stap beschermt de webbeheerinterface echter niet, geeft QNAP aan.

'Meteen installeren'

Het bedrijf werkt nu aan updates voor de software in zijn apparaten. Het gaat onder meer om nassystemen, clouddiensten voor nasback-up, QNAP's cloudapp voor het delen van notities, en opslagapparaten voor videosurveillancecamera's. Patches voor PHP kwamen gistermiddag uit. QNAP komt 'zo snel mogelijk' met updates voor zijn opslagsoftware, maar noemt geen tijdspad. Klanten moeten de fixes na de release meteen installeren.

TS-h686-nasapparaat. Bron: QNAP

Reacties (17)

[stefanvanvliet]

Ben benieuwd of dit ook voor het merk synology geld. Heb gisteren voor de zekerheid die van mij uitgezet.

[Skix_Aces]

Als je er remote niet bij kan ben je in principe al beschermd. Mijn synology draait volledig lokaal, en ik kan er alleen remote bij via een VPN. Is sowieso een stuk veiliger, ongeacht deze bug of niet.

[disheaver]

Uiteraard is dit veiliger, maar ook lokaal heb je nog steeds wel risico. IoT devices die gecomprimeerd zijn maar wel toegang hebben tot de NAS, een bekende die je wifi code heeft.

[Mr.Analog]

DSM zelf niet, maar er zijn installaties binnen packets die wel PHP gebruiken. Als je deze hebt geinstalleerd dat zijn deze kwetsbaar. Je kunt package center checken en kijken welke geinstalleerd staat.

*Hyper back-up gebruikt bijvoorbeeld PHP

[Reactie gewijzigd door Mr.Analog op 22 oktober 2026 12:58]

[Vhond]

Is er ook online een overzicht beschikbaar van welke Synology packages er gebruik maken van PHP?

[limboroger]

*Hyper back-up gebruikt bijvoorbeeld PHP

Ligt er kennelijk aan op welke versie van DSM je zit.

Hyperbackup gebruikt in elk geval PHP 7.4 wanneer je op DSM 7.2.xx zit. Ik wilde deze legacy PHP verwijderen kreeg de melding dat Hyperbackup dan ook zou verdwijnen.

Toen ik gisteren mijn modernste Synology opwaardeerde naar DSM 7.4.1 werd PHP 7.4 vanzelf verwijderd na de verplicht update van Hyperbackup.

Mijn oudere Synology kan niet verder dan DSM 7.1 maar heeft geen Hyperbackup nodig.

[DarkTemple]

Raar. Net nog gekeken, maar ik heb php niet geinstalleerd staan op mijn Synology, maar gebruik wel Hyper backup. Is DSM 7.4.xx

[DeFeCt]

https://community.synology.com/enu/forum/18/post/231457

[spaceboy]

Het ligt er helemaal aan wat jij hebt draaien óp die Synology. Het boeit geen kont of www.synology.com wel of niet PHP gebruikt. Als jij iets op je NAS hebt draaien waar php wordt gebruikt heb je dat probleem. En of die NAS is gebouwd met technologie van TrueNAS, oom Hans, de handige buurjongen of Synology is echt niet relevant.

[slijkie]

Heb er tailscale op draaien, zonder tailscale is de NAS niet benaderbaar. In mijn geval een QNAP.

[phubert]

Gisteravond kreeg ik een melding dat er een update klaar stond om mijn Synology te updaten. In deze update zaten veiligheid updates maar geen verwijzing naar de PHP CVE's.

[pOZOR jED]

Ook zonder PHP een top advies!

[spaceboy]

Precies dit. Los van elke soort wel of niet gevonden vulnerability: denk na over wat je waarom online hebt staan waar je vanaf buitenshuis bij wilt kunnen. Als je écht een usecase hebt, werk dan met VPN.

Je hoeft hiervoor niet te wachten tot er een kwetsbaarheid ergens gevonden wordt.

[The Zep Man]

Precies dit. Los van elke soort wel of niet gevonden vulnerability: denk na over wat je waarom online hebt staan waar je vanaf buitenshuis bij wilt kunnen. Als je écht een usecase hebt, werk dan met VPN.

VPN, WAF met hardened authenticatieportaal ervoor, mTLS, ...

Het belangrijkste is dat buiten hardened zaken om zo min mogelijk direct blootgesteld wordt aan het internet.

[Reactie gewijzigd door The Zep Man op 22 oktober 2026 13:07]

[phubert]

QNAP ligt al jaren onder vuur als het gaat om veiligheid van apparaten aangesloten rechtstreeks op internet. In mijn ervaring met QNAP, vooral het geen wat er voor moet zorgen dat je veiligheid zou krijgen "QuFirewall" is diep teleurstellend. Om uiteindelijk veiligheid te bereiken heb ik "ondergronds" in de CLI via autorun.sh de iptables zelf moeten laden.

NAS van buiten bereiken? VPN!

[p0linskie]

Voor mensen met truenas die zich dit nu ook afvragen. Truenas webpagina gebruikt geen php


https://security.truenas....tatements/php2shell-2026/

[Sonicfreak]

Synology is aan het onderzoeken of hun producten ook vatbaar zijn en werkt aan updates.

PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619 | Synology Community