Un fallo crítico de PHP afecta a los NAS de QNAP y Synology: cómo protegerte
- Dos fallos graves en PHP, bautizados como PHP2Shell, pueden permitir a un atacante tomar el control de un NAS sin necesidad de contraseña.
- QNAP ya ha publicado versiones corregidas de QTS, QuTS hero y QuTScloud; Synology ha corregido sus paquetes de PHP, Mail Station y Calendar.
- Lo urgente: actualizar el NAS y no dejarlo abierto a Internet. Para acceder desde fuera, mejor por VPN.
El 21 de octubre, el proyecto PHP corrigió dos vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619) que permiten ejecutar código en el equipo afectado antes de que se pida usuario y contraseña. PHP es el lenguaje con el que funcionan muchas páginas web y, también, el panel de administración y varias aplicaciones de los NAS, esos discos en red donde muchas oficinas guardan sus documentos y copias de seguridad.
El INCIBE-CERT ha publicado un aviso con severidad crítica para los productos de QNAP. QNAP reconoce que ya se han detectado intentos de explotación de estos fallos de PHP, aunque asegura que no le consta ningún ataque contra sus equipos por ahora.
Qué equipos están afectados
QNAP: los sistemas QTS 6.1.0 y 5.2.11 o anteriores, QuTS hero y QuTScloud. Las versiones con fecha de compilación 20261023 ya llevan la corrección. Varias aplicaciones de QNAP (Notes Station 3, QVR Surveillance en modelos ARM32, QNE y TVR OS) todavía están pendientes de parche.
Synology: los paquetes de PHP que se instalan desde el Centro de paquetes (versiones 7.4 a 8.4), Mail Station y Synology Calendar. El PHP integrado en el propio sistema DSM, según Synology, no está expuesto al exterior y el riesgo es muy bajo. Ojo: el paquete PHP 7.3 no recibirá corrección porque ya está fuera de soporte.
Por qué importa
Un NAS suele guardar lo más valioso de una empresa: facturas, contabilidad, fotos, copias de seguridad. Si alguien consigue entrar, puede cifrarlo todo y pedir un rescate, o llevarse los datos. Y el riesgo se multiplica cuando el NAS está accesible desde Internet para consultar archivos desde casa o desde el móvil, algo muy habitual.
Qué hacer
- Actualiza el sistema. En QNAP: Panel de control → Sistema → Actualización de firmware. En Synology: Centro de paquetes → actualiza PHP, Mail Station y Calendar si los tienes instalados.
- Si usas el paquete PHP 7.3 en Synology, desinstálalo o sustitúyelo por una versión más reciente.
- Cierra el acceso directo desde Internet. Desactiva en el router las redirecciones de puertos hacia el NAS y el UPnP. En QNAP, revisa también la configuración automática de myQNAPcloud.
- Para entrar desde fuera, usa una VPN en lugar de abrir puertos.
- Detén las aplicaciones que no uses, sobre todo las que todavía no tienen parche.
- Revisa los registros en busca de accesos extraños y pasa el antivirus del NAS (en QNAP, Security Center y Malware Remover).
Y si notas algo raro, como archivos con extensiones extrañas o accesos que no reconoces, desconecta el NAS de la red y cambia las contraseñas antes de hacer nada más.
¿Tienes un NAS en la oficina?
Lo actualizamos, revisamos qué está abierto a Internet y te dejamos un acceso remoto seguro por VPN. También comprobamos que tus copias de seguridad funcionan.
Pedir revisión