Actualité

Vulnérabilité PHP2Shell sur NAS : Synology, QNAP, UGREEN, Asustor concernés — comment se protéger

Lucas Delbos

24 oct. 2026 — 7 min read

Notre position

Deux failles critiques dans PHP (CVSS 9.2-9.8, surnommées PHP2Shell) touchent le cœur logiciel de plusieurs NAS grand public et pro. Synology a déjà publié des correctifs. QNAP, UGREEN et Asustor travaillaient encore sur les leurs à la date de publication, sans date ferme. Si votre NAS expose une interface web (Mail Station, Web Station, phpMyAdmin, WordPress, un panneau d'admin tiers) directement sur Internet, c'est le moment de couper l'accès distant et de vérifier vos journaux.

9.2-9.8

Score CVSS

21/10

Date des correctifs PHP

17/10

1res tentatives observées (Amazon)

5

Marques NAS concernées

Le 21 octobre 2026, l'équipe PHP a publié des correctifs pour deux vulnérabilités critiques baptisées PHP2Shell : CVE-2026-109618 et CVE-2026-109619.[1][5] Les deux permettent une exécution de code à distance sans authentification, avant même que la logique de connexion de l'application ne s'exécute. Un attaquant n'a besoin ni de compte ni de mot de passe, juste d'un accès réseau à un composant PHP exposé.[5]

Ce qui change la donne pour les propriétaires de NAS : Amazon a observé des tentatives d'exploitation via son honeypot MadPot dès le 17 octobre, soit quatre jours avant la divulgation publique et la sortie des correctifs.[6] Si votre NAS a été exposé sur Internet pendant cette période, il ne suffit pas de vérifier les journaux après le 21, il faut remonter au 17.

Pourquoi un NAS est plus vulnérable qu'un site web classique

Sur un serveur web ordinaire, un administrateur met à jour PHP via son gestionnaire de paquets et c'est réglé en quelques minutes. Sur un NAS, PHP est souvent embarqué dans l'OS lui-même (DSM, QTS, ADM, UGOS) et dans des paquets applicatifs distincts (Mail Station, Web Station, phpMyAdmin, WordPress, Calendar...). La correction dépend donc du calendrier du fabricant, pas de celui du projet PHP. C'est précisément ce décalage qui inquiète les chercheurs : certains fabricants avaient encore, plusieurs jours après la divulgation, un correctif marqué « à venir » sans date.

Où en est chaque fabricant

Fabricant	Statut au 23/10/2026	Action possible
Synology	Correctifs publiés pour PHP 7.4 à 8.4 via Package Center. PHP 7.3 (fin de vie) ne sera pas corrigé.	Mettre à jour les paquets PHP + Mail Station + Calendar dès maintenant
QNAP	Avisorie publiée, statut « en cours de correction », aucune date de sortie annoncée	Couper l'exposition Internet, désactiver UPnP et le transfert de ports, passer par VPN
Asustor	Avisorie AS-2026-023, statut « en cours » pour ADM 4.1-4.3 et 5.0/5.1[4]	Arrêter le Web Server tant que le correctif n'est pas sorti
UGREEN	Correctif en préparation, aucune date communiquée	Surveiller les notes de mise à jour UGOS Pro, limiter l'accès distant
TerraMaster	Enquête en cours depuis le 22/10 après un signalement sur Reddit (PHP 7.4.33 détecté sur F2-425)	Vérifier la version de PHP exposée par l'interface web, limiter l'accès

Synology distingue deux surfaces : le PHP intégré à DSM, qu'elle juge peu exposé car non accessible depuis l'extérieur, et les paquets PHP installés par l'utilisateur, qui eux doivent être mis à jour.[2][3] QNAP, de son côté, prévient que couper le serveur web intégré ne protège pas l'interface d'administration, qui utilise sa propre instance PHP côté OS — la vraie protection passe par la restriction réseau, pas par l'arrêt d'un service.[1][9]

Ce qu'il faut faire, dans l'ordre

Désactiver le transfert de ports et l'UPnP sur votre routeur pour l'interface d'administration du NAS. C'est la mesure la plus efficace tant qu'aucun correctif n'est confirmé.
Passer par un VPN pour tout accès distant plutôt que d'exposer le panneau d'admin directement.
Mettre à jour tous les paquets PHP disponibles dans votre gestionnaire d'applications (Package Center, App Central, App Store UGOS) dès qu'un correctif apparaît.
Vérifier les conteneurs : si vous faites tourner Docker/Container Station avec des images contenant PHP (WordPress, applications maison), elles ne sont pas corrigées par la mise à jour du NAS. Il faut les mettre à jour séparément.
Consulter les journaux depuis le 17 octobre, pas seulement depuis la divulgation du 21. Cherchez des connexions suspectes sur les ports web, des process PHP qui lancent un shell ou téléchargent un outil.
Désinstaller les paquets PHP en fin de vie (PHP 7.3 notamment) qui ne recevront jamais de correctif.

CISA va plus loin et recommande de débrancher purement et simplement du réseau tout système qui ne peut pas être mis à jour rapidement.[5] Pour un NAS personnel qui héberge des photos de famille, c'est radical mais ça se discute en fonction de ce qui tourne dessus. Pour un NAS d'entreprise exposé publiquement, ça ne se discute pas.

Faut-il paniquer ?

Pas de panique, mais pas d'insouciance non plus. QNAP indique n'avoir reçu aucun signalement d'exploitation réussie sur ses produits.[7][8] Des chercheurs cités par SecurityWeek notent par ailleurs qu'une partie du code d'exploitation qui a circulé après la divulgation ne fonctionnait pas correctement ou se contentait de faire planter la cible sans exécuter de code. La faille est réelle et sérieuse, mais tous les NAS exposés n'ont pas été compromis du jour au lendemain. Ce qui compte, c'est de réduire la fenêtre d'exposition maintenant, pas d'attendre une preuve d'attaque pour agir.

Le facteur commun à surveiller : si votre NAS n'a jamais son interface d'administration ouverte sur Internet et que vous passez systématiquement par un VPN, votre exposition réelle à PHP2Shell est déjà faible. Si vous avez activé un accès direct via QuickConnect, DDNS, ou un transfert de port vers le port 5000/5001/8080/443, c'est là qu'il faut agir en premier.

FAQ

Mon NAS Synology est-il automatiquement protégé ?

Non. Synology a publié des correctifs pour les paquets PHP et pour Mail Station/Calendar, mais ils ne s'installent pas tout seuls. Il faut aller dans Package Center et lancer la mise à jour des paquets PHP concernés (7.4, 8.0, 8.1, 8.2, 8.3, 8.4). PHP 7.3 ne recevra aucun correctif car la version est en fin de vie.

Puis-je continuer à utiliser mon NAS QNAP en attendant le correctif ?

Oui, mais pas exposé sur Internet. QNAP recommande de désactiver le transfert de ports et l'UPnP, de couper myQNAPcloud Link et les services publiés, et de passer par un VPN pour tout accès distant jusqu'à la sortie du correctif.

Qu'est-ce que PHP2Shell exactement ?

C'est le nom donné à deux vulnérabilités distinctes, CVE-2026-109618 et CVE-2026-109619, liées à la gestion de la mémoire par PHP lors du traitement des requêtes web. Les deux permettent une exécution de code à distance sans authentification préalable.

Les conteneurs Docker sur mon NAS sont-ils concernés ?

Possiblement, et c'est un point que les fabricants ne corrigent pas automatiquement. Si une image Docker que vous faites tourner (WordPress, une app maison, un CMS) embarque une version vulnérable de PHP, la mise à jour de l'OS du NAS ne la corrige pas. Il faut mettre à jour l'image elle-même.

Comment savoir si mon NAS a déjà été attaqué ?

Vérifiez les journaux de connexion et d'accès web depuis le 17 octobre 2026, pas seulement depuis la divulgation officielle du 21. Cherchez des connexions inhabituelles sur les ports web/admin, des process PHP qui lancent un shell ou téléchargent un fichier. QNAP recommande ses outils QuLog Center, Security Center et Malware Remover pour ce type de vérification.