Vulnerabilità PHP2Shell mette a rischio i dispositivi NAS
La falla di sicurezza PHP2Shell coinvolge anche i NAS: alcuni produttori non hanno ancora rilasciato le patch necessarie.
La recente vulnerabilità PHP2Shell, identificata come CVE-2026-109618 e 109619, non minaccia soltanto siti web, ma coinvolge ora anche i Network Attached Storage (NAS). Il rischio riguarda sia il software integrato nei NAS sia le applicazioni ospitate in Docker container, specie se i dispositivi sono accessibili via Internet pubblica. Alcuni tra i principali costruttori, inclusi Synology e QNAP, stanno lavorando a correzioni ma non tutti hanno ancora rilasciato aggiornamenti risolutivi.
Synology ha comunicato la disponibilità di nuovi package PHP aggiornati per alcuni prodotti, chiarendo la differenza tra componenti PHP installati e quelli integrati nel DiskStation Manager, quest’ultimi meno esposti per natura. Anche QNAP ha riconosciuto che varie versioni di QTS, QuTS hero, QuTScloud e Note Station 3 sono vulnerabili, e consiglia di limitare l’esposizione dei NAS a Internet, disabilitando port forwarding, UPnP e servizi di accesso remoto inutilizzati.
TerraMaster, Ugreen e Asustor risultano impegnati su patch simili. Gli esperti raccomandano agli amministratori di verificare gli aggiornamenti per il proprio modello e di rimuovere dall’accesso pubblico dispositivi fuori supporto. L'accesso remoto dovrebbe avvenire esclusivamente tramite VPN sicura.
