HD Doctor Logo

PHP2Shell: o que fazer agora no NAS QNAP, Synology ou ASUSTOR

Por Equipe Técnica HD Doctor

Resposta direta

Atualize o sistema do NAS e os pacotes PHP para as versões indicadas pela QNAP, pela Synology e pela ASUSTOR, e desative o PHP que ninguém usa. Até terminar, tire a interface web do alcance da internet. A CISA lista as duas falhas do PHP como exploradas, embora nenhum dos três fabricantes relate ataques aos seus aparelhos. Se o NAS já mostrar arquivos cifrados, pastas apagadas ou acessos estranhos, não reinicie, não atualize e não formate: isole o aparelho da rede sem desligá-lo, preserve os discos e confira a cópia fora do NAS.

O que dizem os avisos do PHP, da QNAP, da Synology e da ASUSTOR

Em 21/10/2026, o projeto PHP publicou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, que corrigem CVE-2026-109618 e CVE-2026-109619: duas falhas que podem permitir execução remota de código sem autenticação. O projeto afirma que não há mitigação completa e que atualizar é a única opção segura; as versões 8.1 e anteriores não recebem mais atualizações oficiais. Fonte: https://www.php.net/archive/2026.php. Em 26/10, a CISA incluiu as duas no catálogo KEV, que reúne falhas com exploração conhecida; o uso em ransomware consta como desconhecido. Fonte: https://www.cisa.gov/known-exploited-vulnerabilities-catalog. Em 21/10, a Amazon informou ter registrado em seus honeypots uma tentativa de exploração datada de 17/10, quatro dias antes da correção, sem saber se essas tentativas teriam sucesso em sistemas reais; a recomendação é investigar atividade a partir dessa data. Fonte: https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/. Em NAS, o PHP roda nos componentes web do sistema e dos aplicativos. O aviso QSA-26-18 da QNAP, publicado em 22/10 e revisado até 28/10, aponta como corrigidos QTS 6.1.0.3656 e 5.2.11.3661; QuTS hero h6.1.0.3656, h6.0.2.3656 (também para quem está em h5.3.x) e h5.2.11.3661; QuTScloud c5.2.9.3661, todos com build 20261023; e Notes Station 3 3.9.15. O aviso também cobre o QVR Surveillance, voltado a gravação de vigilância (3.0.3.1756, para modelos ARM32), e o TVR OS (1.0.5). A QNAP diz não ter recebido relatos de exploração contra seus produtos e avisa que PHP em contêineres do Container Station ou em aplicativos de terceiros não é coberto por essas atualizações. Fonte: https://www.qnap.com/en/security-advisory/QSA-26-18. O aviso Synology-SA-26:14, de 22/10 e atualizado em 31/10, classifica como críticos os pacotes PHP 7.3 a 8.4, o Synology Calendar e o Mail Station. Há versões corrigidas do PHP 7.4 ao 8.4 e dos dois aplicativos, conforme a versão do DSM; o PHP 7.3 não terá correção por estar em fim de vida. O Hyper Backup consta como não afetado, e a Synology considera muito baixo o risco do PHP embutido no próprio sistema, por não ficar exposto externamente. Fonte: https://www.synology.com/en-global/security/advisory/Synology_SA_26_14. A ASUSTOR, no aviso AS-2026-023 (22/10, revisado em 23/10), indica PHP 8.3.36.r124 ou 8.4.27.r106, ou posteriores, para ADM 5.0 e 5.1, e PHP 8.3.36.r3 para ADM 4.1 a 4.3. Para ADM 3.5 e 4.0 não há versão corrigida: a orientação é desativar o servidor web no Web Center e remover as versões antigas do PHP, já retiradas do App Central. Fonte: https://www.asustor.com/en/security/security_advisory_detail?id=72. Por que isso pesa sobre os dados: segundo a ASUSTOR, a exploração pode dar ao atacante os mesmos privilégios de execução do serviço web. A partir daí, conforme as permissões disponíveis, ele pode tentar alcançar compartilhamentos, volumes e gravações de câmeras. É um cenário de risco para definir prioridades, não a constatação de ataques a NAS. Ele explica por que um snapshot ou backup guardado no mesmo aparelho não basta: confirme que existe cópia fora do NAS e que ela abre de verdade. Se já houver arquivos cifrados, pastas apagadas, volume ou pool em alerta ou disco com falha, a HD Doctor pode avaliar a recuperação a partir dos discos preservados. O resultado depende do estado do material. Essa avaliação não substitui a correção do sistema, a investigação do incidente nem o suporte do fabricante.

Três decisões que podem custar os dados do NAS

  1. 1.
    Deixar a interface do NAS aberta na internet até atualizar. A QNAP aponta manter o aparelho fora da internet como a proteção mais eficaz até a correção. Desative redirecionamento de portas e UPnP, use VPN para acesso remoto e limite as portas de administração à rede interna.
  2. 2.
    Atualizar o sistema com volume ou pool em alerta. Atualizações do sistema podem reescrever metadados do volume. Com pool degradado ou disco com falha, resolva primeiro a situação dos dados com quem administra o NAS; enquanto isso, corte o acesso pela internet e pare os aplicativos PHP.
  3. 3.
    Reiniciar, inicializar ou formatar o NAS diante de sinais de ataque. Desconecte o aparelho da rede sem desligá-lo e acione a equipe responsável. O reinício pode descartar evidências em memória, e Initialize ou formatação apagam configurações e metadados necessários para reconstruir volumes.

Cinco passos para corrigir o NAS sem arriscar os volumes

Roteiro para quem administra o NAS e para os responsáveis pelos dados. Não rode exploits públicos no aparelho para descobrir se ele está vulnerável.

  1. 1

    Liste o que roda PHP em cada aparelho

    Anote modelo, versão do sistema (QTS, QuTS hero, QuTScloud, DSM ou ADM) e pacotes instalados: PHP, servidor web, Notes Station 3, Calendar, Mail Station, sites e contêineres. Inclua gravadores com QVR Surveillance ou TVR OS. PHP em contêiner ou aplicativo de terceiros depende da correção do respectivo fornecedor.

  2. 2

    Corte a exposição antes de mexer no sistema

    No roteador, desative redirecionamento de portas e UPnP do NAS; desligue serviços de publicação que não usa, como o myQNAPcloud Link. Use VPN para acesso remoto e restrinja as portas de administração à rede interna. A QNAP observa que essas medidas reduzem a exposição, mas não corrigem a falha.

  3. 3

    Confira os volumes e aplique as correções

    Verifique se volumes e pools estão saudáveis e se há cópia recente fora do NAS. Com tudo normal, atualize o sistema e depois os pacotes pela central de aplicativos, conferindo cada número de versão com o aviso do fabricante. Com volume em alerta, decida com o administrador antes de atualizar.

  4. 4

    Pare ou remova o PHP que ninguém usa

    Na QNAP, o aviso prefere parar os aplicativos PHP desnecessários a desinstalá-los e sugere desativar o servidor web embutido se não for usado; isso não protege a interface de administração. Na ASUSTOR, desative o servidor web no Web Center e remova versões antigas do PHP. Na Synology, o PHP 7.3 não terá correção.

  5. 5

    Procure sinais de acesso e teste a cópia externa

    Revise registros de login e acesso desde 17/10; na QNAP, o aviso indica o QuLog Center e, com definições atualizadas, o Security Center e o Malware Remover. Abra uma amostra da cópia fora do NAS. Se houver sinais de invasão, isole o aparelho, troque senhas a partir de um equipamento confiável e preserve os discos.

Perguntas sobre PHP2Shell e NAS

Meu NAS foi atacado pelo PHP2Shell?

Os avisos não indicam isso. A QNAP informa não ter recebido relatos de exploração contra seus produtos, e os avisos da Synology e da ASUSTOR não relatam ataques a seus aparelhos. O que a CISA confirma é a exploração das falhas no PHP. Por isso a correção é urgente, e a revisão de acessos deve cobrir o período desde 17/10.

Não uso site nem aplicativo PHP no NAS. Preciso atualizar?

Depende do fabricante. Na QNAP, sim: o próprio QTS, QuTS hero e QuTScloud estão entre os afetados, e parar aplicativos não protege a interface de administração. O aviso da Synology lista pacotes, e a empresa considera muito baixo o risco do PHP embutido no DSM. O da ASUSTOR trata das versões do PHP por versão do ADM. Em todos os casos, procure pacotes instalados há anos e esquecidos.

Snapshot ou backup no mesmo NAS resolvem?

Ajudam em exclusões e erros comuns, mas ficam no mesmo aparelho que a falha pode expor. Mantenha ao menos uma cópia fora do NAS, que ele não consiga alterar, e teste a restauração de uma amostra. Uma tarefa de backup concluída sem erro não comprova que os arquivos abrem.

Quando vale pedir recuperação profissional?

Quando arquivos estiverem cifrados ou ausentes, o volume ou pool não montar ou um disco falhar, sem cópia validada que resolva. Preserve os discos, anote a posição de cada um nas baias e registre sintomas e tentativas. Evite Initialize, formatação e reparos repetidos; gravações de câmeras seguem a mesma regra.

Dados do NAS ficaram inacessíveis?

Preserve os discos, anote a posição de cada um e informe sintomas, datas e tentativas.

Próximas leituras