QNAP adviseert gebruikers nassystemen van internet te halen vanwege PHP-gaten

De twee kritieke kwetsbaarheden in PHP die woensdag openbaar zijn gemaakt raken niet alleen websites, maar ook nasapparaten. Fabrikant QNAP adviseert gebruikers een dag nadat PHP2Shell uitkwam hun nassystemen te ontkoppelen van internet. QNAP werkt aan updates voor zijn software.

Totdat fixes voor QNAP-producten beschikbaar zijn, is het volgens de leverancier het beste om apparaten offline te houden. Dat is 'de meest effectieve bescherming', stelt QNAP in een beveiligingsadvies van donderdag 22 oktober. In dat bericht geeft het bedrijf ook tips om blootstelling aan de twee grote PHP-gaten te beperken. Aanvallers kunnen daarmee systemen overnemen. De aangereikte stappen verhelpen de kwetsbaarheden niet, waarschuwt QNAP.

Ontkoppelen en deels uitschakelen

Het bedrijf adviseert klanten is om hun nasapparaten te ontkoppelen van internet. Daarbij moeten ze ook portforwarding in hun routers uitschakelen, Universal Plug and Play (UPnP) op nassystemen uitzetten, de link met clouddiensten van QNAP uitschakelen en draaiende onlinediensten op nasapparaten depubliceren in myQNAPcloud. Toegang tot nasapparaten kan nog wel via een virtual private network (vpn), aldus QNAP.

Naast bovenstaande tips kunnen gebruikers ook de toegang beperken tot alleen vertrouwde netwerken. Verder is het verstandig om op PHP gebaseerde diensten en apps op QNAP-producten tijdelijk stop te zetten. Die laatste stap beschermt de webbeheerinterface echter niet, geeft QNAP aan.

'Meteen installeren'

Het bedrijf werkt nu aan updates voor de software in zijn apparaten. Het gaat onder meer om nassystemen, clouddiensten voor nasback-up, QNAP's cloudapp voor het delen van notities, en opslagapparaten voor videosurveillancecamera's. Patches voor PHP kwamen gistermiddag uit. QNAP komt 'zo snel mogelijk' met updates voor zijn opslagsoftware, maar noemt geen tijdspad. Klanten moeten de fixes na de release meteen installeren.

TS-h686-nasapparaat. Bron: QNAP

Reacties (29)

[stefanvanvliet]

Ben benieuwd of dit ook voor het merk synology geld. Heb gisteren voor de zekerheid die van mij uitgezet.

[Mr.Analog]

DSM zelf niet, maar er zijn installaties binnen packets die wel PHP gebruiken. Als je deze hebt geinstalleerd dat zijn deze kwetsbaar. Je kunt package center checken en kijken welke geinstalleerd staat.

*Hyper back-up gebruikt bijvoorbeeld PHP

[Reactie gewijzigd door Mr.Analog op 22 oktober 2026 12:58]

[Vhond]

Is er ook online een overzicht beschikbaar van welke Synology packages er gebruik maken van PHP?

[Mr.Analog]

Kon ik zo helaas niet vinden, maar de obvious ones zijn natuurlijk:

• Web Station
• PHPMyadmin
• Wordpress

Maar minder logische applicaties zijn

• Calender
• Contact
• Photos
• Mail
• en dus Hyper Back Up

Dit is te checken door te kijken wat geinstalleerd staat in package center kun je zoeken op PHP. Als je klikt op uninstall geeft synology aan welke applicatie hier van afhankelijk zijn. Als hier een installatie zichtbaar is weet je iedergeval zeker dat je het op het systeem hebt staan.

[Vhond]

Bedankt voor je input

[Craysv2]

Synology Surveillance Station ook geloof ik ?

[alexbl69]

Gebruik Hyper Backup en Surveillance Station maar er is geen PHP pakket geïnstalleerd.

[limboroger]

*Hyper back-up gebruikt bijvoorbeeld PHP

Ligt er kennelijk aan op welke versie van DSM je zit.

Hyperbackup gebruikt in elk geval PHP 7.4 wanneer je op DSM 7.2.xx zit. Ik wilde deze legacy PHP verwijderen kreeg de melding dat Hyperbackup dan ook zou verdwijnen.

Toen ik gisteren mijn modernste Synology opwaardeerde naar DSM 7.4.1 werd PHP 7.4 vanzelf verwijderd na de verplicht update van Hyperbackup.

Mijn oudere Synology kan niet verder dan DSM 7.1 maar heeft geen Hyperbackup nodig.

[DarkTemple]

Raar. Net nog gekeken, maar ik heb php niet geinstalleerd staan op mijn Synology, maar gebruik wel Hyper backup. Is DSM 7.4.xx


Zie nu dat je hetzelfde had ontdekt, namelijk afhankelijk van welke DSM versie je hebt.

[Reactie gewijzigd door DarkTemple op 22 oktober 2026 13:31]

[Skix_Aces]

Als je er remote niet bij kan ben je in principe al beschermd. Mijn synology draait volledig lokaal, en ik kan er alleen remote bij via een VPN. Is sowieso een stuk veiliger, ongeacht deze bug of niet.

[disheaver]

Uiteraard is dit veiliger, maar ook lokaal heb je nog steeds wel risico. IoT devices die gecomprimeerd zijn maar wel toegang hebben tot de NAS, een bekende die je wifi code heeft.

[ASS-Ware]

Uiteraard is dit veiliger, maar ook lokaal heb je nog steeds wel risico. IoT devices die gecomprimeerd zijn maar wel toegang hebben tot de NAS, een bekende die je wifi code heeft.

IOT devices of gasten met toegang tot je NAS is sowieso vragen om problemen.

[DeFeCt]

https://community.synology.com/enu/forum/18/post/231457

[spaceboy]

Het ligt er helemaal aan wat jij hebt draaien óp die Synology. Het boeit geen kont of www.synology.com wel of niet PHP gebruikt. Als jij iets op je NAS hebt draaien waar php wordt gebruikt heb je dat probleem. En of die NAS is gebouwd met technologie van TrueNAS, oom Hans, de handige buurjongen of Synology is echt niet relevant.

[slijkie]

Heb er tailscale op draaien, zonder tailscale is de NAS niet benaderbaar. In mijn geval een QNAP.

[phubert]

Gisteravond kreeg ik een melding dat er een update klaar stond om mijn Synology te updaten. In deze update zaten veiligheid updates maar geen verwijzing naar de PHP CVE's.

[Geim]

Marius heeft daar een stukje over geschreven. Geen flauw idee of dit een goed advies is. Ik heb de webservices uitgezet.

https://mariushosting.com/synology-mitigating-php2shell-cve-2026-109618-cve-2026-109619/

[pOZOR jED]

Ook zonder PHP een top advies!

[spaceboy]

Precies dit. Los van elke soort wel of niet gevonden vulnerability: denk na over wat je waarom online hebt staan waar je vanaf buitenshuis bij wilt kunnen. Als je écht een usecase hebt, werk dan met VPN.

Je hoeft hiervoor niet te wachten tot er een kwetsbaarheid ergens gevonden wordt.

[The Zep Man]

Precies dit. Los van elke soort wel of niet gevonden vulnerability: denk na over wat je waarom online hebt staan waar je vanaf buitenshuis bij wilt kunnen. Als je écht een usecase hebt, werk dan met VPN.

VPN, WAF met hardened authenticatieportaal ervoor, mTLS, ...

Het belangrijkste is dat, buiten hardened zaken om, zo min mogelijk direct blootgesteld wordt aan het internet. Zo is er geen reden om bijvoorbeeld een webmail client direct op het internet aan te bieden. Dat kan ook achter een hardened authenticatieportaal.

[Reactie gewijzigd door The Zep Man op 22 oktober 2026 13:53]

[phubert]

QNAP ligt al jaren onder vuur als het gaat om veiligheid van apparaten aangesloten rechtstreeks op internet. In mijn ervaring met QNAP, vooral het geen wat er voor moet zorgen dat je veiligheid zou krijgen "QuFirewall" is diep teleurstellend. Om uiteindelijk veiligheid te bereiken heb ik "ondergronds" in de CLI via autorun.sh de iptables zelf moeten laden.

NAS van buiten bereiken? VPN!

[p0linskie]

Voor mensen met truenas die zich dit nu ook afvragen. Truenas webpagina gebruikt geen php


https://security.truenas....tatements/php2shell-2026/

[SilentDecode]

Kijk! Goed om te weten. Mijn QNAP draait inderdaad TrueNAS.

[Sonicfreak]

Synology is aan het onderzoeken of hun producten ook vatbaar zijn en werkt aan updates.

PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619 | Synology Community

[ChiLLeR]

Heb na dit probleem meteen webstation uitgezet. Het duurt zo lang voordat Synology een package update doet voor php. Nu gewoon php-Apache in een docker container. Via Cloudflare tunnel erop en klaar. Kan ik zelf updaten wanneer nodig en geen expose direct naar het internet.

[Jermaine]

Niet alleen QNAP, maar vele andere merken van hardware die bij jou en mij thuis kan staan worden genoemd in deze repo van het NCSC. Zeker het lezen waard, of beter nog, om het toe te voegen aan dit of een los artikel?

https://github.com/NCSC-NL/php2shell/blob/main/software/software_list.md

[Reactie gewijzigd door Jermaine op 22 oktober 2026 13:39]

[CPM]

Het kan prima draaien, alleen moet je het niet beschikbaar maken naar internet. Enige nuance is daarin wel op zijn plek.

[arjans]

Dit leest als een headline van De Speld... Maar ze zijn serieus
Een NAS direct aan internet hangen is altijd een slecht idee geweest.

[CPM]

Het bedrijf adviseert klanten is om hun nasapparaten te ontkoppelen van internet. Daarbij moeten ze ook portforwarding in hun routers uitschakelen, Universal Plug and Play (UPnP) op nassystemen uitzetten, de link met clouddiensten van QNAP uitschakelen en draaiende onlinediensten op nasapparaten depubliceren in myQNAPcloud.

Ontkoppelen van internet: juist.

Port forwarding uitschakelen: euh what? Want? Als er niets meer draait hoeft dat dus niet.

UPnP uitzetten: dat had je al eerder moeten doen.

Link met clouddiensten uit: euh, waarom dan?

Draaiende onlinediensten op nasapparaten depubliceren in myQNAPcloud: ?????

Ik begrijp dat je alle diensten die PHP gebruiken op je NAS en die beschikbaar zijn gemaakt aan internet moet uitzetten, die zijn kwetsbaar. Maar waarom die andere dingen dan? Uitgaand verkeer is niet kwetsbaar. Alles wat naar een server praat van Qnap is uitgaand verkeer. Wat mis ik hier?

[Reactie gewijzigd door CPM op 22 oktober 2026 14:03]