- PHP2Shell 高危漏洞波及互联网暴露的 NAS 设备及基于 PHP 的 Docker 工作负载
- Synology、QNAP 等主流厂商补丁发布进度不一，部分系统仍面临风险
- 安全研究人员建议立即更新固件、关闭公网访问权限，并改用 VPN 进行远程管理
受 PHP2Shell 漏洞影响的不仅是网站和 Web 服务器，网络附加存储（NAS）设备同样处于风险之中。
据 Apple Insider 研究指出，该漏洞不仅影响 NAS 制造商维护的软件，还波及在 Docker 容器中独立运行的应用程序。凡是通过公共互联网直接访问的 NAS 设备均可能成为攻击目标。
目前，主要 NAS 制造商已着手应对这一威胁。Synology 发布了新的安全咨询报告，确认 PHP 版本 7.3 至 8.4，以及 MailPlus 邮件站和 Synology Calendar 日历应用均受到影响。该公司表示已发布更新的 PHP 包以修复缺陷，建议运行 Synology NAS 产品的用户前往包中心下载档案，寻找并安装更新的 PHP 8.2 和 PHP 8.4 包。
双重风险与厂商响应差异
Synology 同时强调，DiskStation Manager (DSM) 内安装的 PHP 包与系统内置 PHP 组件存在差异。其内置 PHP 不直接暴露在公共互联网上，因此面临的风险较低。
另一家主要厂商 QNAP 证实了广泛的受影响产品范围，包括 QTS 5.2.11 及以上版本、QTS 6.1.9、QuTS hero、QuTScloud 以及 Note Station 3。然而，QNAP 尚未公布具体补丁的可用时间表。该公司建议用户将设备从开放的互联网中移除，禁用不必要的端口转发、UPnP 功能及远程访问服务。
Apple Insider 发现，其他制造商也在积极修复问题。specificNAS 用户应检查制造商的安全通知及其特定型号的可用更新。
对于 NAS 所有者而言，风险具有双重性：PHP 既存在于操作系统底层，也广泛部署于 Docker 容器中。任何在 Docker 中运行基于 PHP 服务的用户，都应检查容器镜像是否使用了受影响的 PHP 版本，并尽快进行更新。
此外，部分旧设备因停止支持而无法获得补丁，这构成了额外的安全隐患。安全专家一致建议，应将此类设备从公众访问中隔离，阻止未经请求的入站连接，仅允许本地访问。若需远程管理，应通过安全的 VPN 实现，而非直接转发 NAS 管理端口。
PHP2Shell 漏洞背景
PHP2Shell 是近期在 PHP 编程语言中发现的一对关键漏洞，编号分别为 CVE-2026-109618 和 CVE-2026-109619。这两个漏洞允许恶意行为者接管网站、窃取数据或部署恶意软件。随着事态发展，受影响的范围已从传统的互联网网站和 Web 应用程序扩展至 NAS 设备领域。
其严重程度被认为可与八年前的 Spectre/Meltdown 漏洞相提并论。由于两者均涉及严重的远程代码执行风险，影响了当今绝大多数的网站和网络应用程序。
根据 Amazon 披露的信息，关于这些漏洞的知识在官方补丁发布前四天便已泄露。尽管有研究人员认为，利用代码执行需要绕过地址空间布局随机化（ASLR），这在远程环境下极具挑战性，但鉴于潜在的巨大危害，安全界仍敦促制造商尽快发布解决方案，并要求用户立即实施更新以消除风险。
