Kritične PHP2Shell ranjivosti u programskom jeziku PHP nisu ograničene samo na veb-stranice i servere. Mogu da utiču i na NAS uređaje koji su dostupni putem interneta, kao i na usluge zasnovane na PHP-u postavljene u Docker kontejnerima.
Reč je o dve ranjivosti, označene kao CVE-2026-109618 i CVE-2026-109619, koje omogućavaju daljinsko izvršavanje koda. U slučaju uspešne zloupotrebe, napadači bi mogli da preuzmu kontrolu nad pogođenim sistemom, pristupe podacima ili postave zlonamerni softver.
Synology je već objavio bezbednosno obaveštenje u kojem navodi da su pogođene PHP verzije od 7.3 do 8.4, kao i paketi Mail Station i Synology Calendar. Kompanija je objavila ažurirane PHP pakete, pa korisnici treba da provere da li su novija izdanja PHP 8.2 i PHP 8.4 dostupna preko Package Center.
Iz Synology-ja ističu da instalirani PHP paketi nisu isto što i PHP komponente ugrađene u DiskStation Manager. Ugrađeni PHP, prema navodima kompanije, nije javno izložen internetu i zbog toga ne bi trebalo da bude pod istim rizikom.
QNAP je, sa druge strane, potvrdio da problem obuhvata više platformi, među kojima su QTS 5.2.11 i starije verzije, QTS 6.1.9, QuTS hero, QuTScloud i Note Station 3. Proizvođač radi na ispravci, ali još nije objavio rok kada bi ona mogla da stigne.
U međuvremenu, QNAP preporučuje da NAS uređaji ne budu direktno dostupni sa interneta. Korisnici treba da isključe nepotrebna pravila za prosleđivanje portova, UPnP i usluge za daljinski pristup. TerraMaster, Ugreen i Asustor takođe pripremaju rešenja za pogođene proizvode.
Rizik je dvostruk kod NAS sistema, pošto PHP može da se koristi i u samom operativnom sistemu i u Docker kontejnerima. Zato je važno proveriti verzije PHP-a u svim aktivnim kontejnerima i primeniti dostupne nadogradnje.
Posebno oprezni treba da budu vlasnici starijih NAS modela koji više ne dobijaju softversku podršku. Za njih je najsigurnije da uređaj ostane dostupan samo u lokalnoj mreži, a da se daljinski pristup omogući putem bezbednog VPN-a, umesto otvaranjem upravljačkih portova prema internetu.