Des attaquants exploitent activement des failles PHP critiques pour cibler des NAS exposés sur Internet. Si vos fichiers et sauvegardes y sont stockés, ils sont probablement à risque.
Ces vulnérabilités, baptisées PHP2Shell et référencées CVE-2026-109618 et CVE-2026-109619, pourraient permettre à des attaquants d'exécuter du code sur les serveurs concernés sans se connecter. PHP est un langage de script utilisé par les serveurs web et certains services NAS. L'équipe de développement de PHP a publié des mises à jour de sécurité le 21 octobre pour les versions 8.2 à 8.5. Amazon a détecté une tentative d'exploitation le 17 octobre, quatre jours avant la divulgation publique des failles.
Pour les propriétaires de NAS, la menace concerne aussi bien les logiciels maintenus par le fabricant que les applications fonctionnant de manière indépendante dans des conteneurs Docker. Le risque d'attaque à distance dépend de la possibilité, pour les attaquants, d'atteindre le service PHP vulnérable.
Synology a publié des paquets PHP mis à jour, disponibles via son Centre de paquets et ses archives de téléchargement. Son avis mentionne les versions PHP 7.3 à 8.4, Mail Station et Synology Calendar parmi les produits concernés. Synology affirme que le PHP intégré à Disk Station Manager n'est pas exposé aux surfaces d'attaque externes. QNAP travaille toujours sur des correctifs et n'a pas indiqué quand ils seront disponibles. QNAP signale qu'aucune attaque n'a visé ses produits, bien que des tentatives d'exploitation contre des serveurs PHP vulnérables aient été documentées. En attendant les correctifs, QNAP recommande de désactiver la redirection de ports inutile, UPnP et les services d'accès à distance, et d'utiliser un VPN pour les connexions distantes.
Source: AppleInsider · Résumé par HeadlinesBriefing