Nieuws
image

QNAP adviseert offline halen NAS-systemen wegens PHP2Shell

donderdag 22 oktober 2026, 10:14 door Redactie, 14 reacties
Laatst bijgewerkt: Gisteren, 13:26

QNAP waarschuwt eigenaren van de NAS-systemen die het levert dat de PHP2Shell-lekken ook daarin aanwezig zijn en adviseert om de apparaten voorlopig offline te halen. De NAS-fabrikant heeft de impact van het probleem als kritiek bestempeld en zegt aan beveiligingsupdates te werken. Wanneer die beschikbaar zijn is echter nog niet bekend, maar een groot aantal producten is getroffen, waaronder QTS, QuTS hero, QuTScloud, Note Station, QNE (ADRA), QVR Surveillance en TVR OS

De software van QNAP, waaronder de besturingssystemen QTS en QuTS hero die op de NAS-systemen draaien, maken gebruik van PHP. Via de PHP2Shell-lekken kan een ongeauthenticeerde aanvaller malafide code op de apparaten uitvoeren. Totdat er beveiligingsupdates beschikbaar zijn is beste bescherming volgens QNAP om de apparaten van het internet te halen. Zo wordt aangeraden om port forwarding, UPnP, myQNAPcloud Link en de ingebouwde webserver uit te schakelen. In het geval online toegang toch is vereist adviseert QNAP het gebruik van een vpn.

Update
QNAP meldt in een net gepubliceerde verklaring dat het eigen Product Security Incident Response Team (PSIRT) scanactiviteiten en aanvalspogingen heeft waargenomen waarbij de PHP2Shell-lekken werden ingezet. De NAS-fabrikant zegt de activiteiten nauwlettend te monitoren.

Reacties (14)
Reageer met quote
Gisteren, 12:16 door Anoniem
Dusss zolang je QNAP niet bereikbaar is vanuit het internet (maar het apparaat zelf wel internet heeft) ben je dan safe om de NAS aan te laten en te wachten op een update?
Reageer met quote
Gisteren, 12:17 door Anoniem
Welke idioot zet dan ook zijn NAS zonder bescherming online?
Reageer met quote
Gisteren, 12:23 door Anoniem
Synology zal niet veel beter zijn. Er is wel een update (https://www.synology.com/nl-nl/releaseNote/DSM) maar de release notes zeggen alleen "Fixed security vulnerabilities." en dan weet je nog niets.
Reageer met quote
Gisteren, 13:20 door Anoniem
Door Anoniem: Synology zal niet veel beter zijn. Er is wel een update (https://www.synology.com/nl-nl/releaseNote/DSM) maar de release notes zeggen alleen "Fixed security vulnerabilities." en dan weet je nog niets.
Synology loopt achter. Op de mijne draait PHP 8.2.30 wat ook de nieuwste versie is die Synology biedt.
Dat is dus niet de gepatchte 8.2.35 van php.net.
Jammer, een duimpje omlaag voor deze security!
Reageer met quote
Gisteren, 14:06 door meinonA
Door Anoniem:Synology loopt achter. Op de mijne draait PHP 8.2.30 wat ook de nieuwste versie is die Synology biedt.
Dat is dus niet de gepatchte 8.2.35 van php.net.
Jammer, een duimpje omlaag voor deze security!

Heb je gecontroleerd of de patch er in zit? De patch is namelijk gebackport t/m php 5.6 ...

Duimpje omlaag voor je gebrek aan onderzoek.
Reageer met quote
Gisteren, 14:19 door Anoniem
Door Anoniem: Dusss zolang je QNAP niet bereikbaar is vanuit het internet (maar het apparaat zelf wel internet heeft) ben je dan safe om de NAS aan te laten en te wachten op een update?

Theoretisch kan een aanvaller toegang tot jouw netwerk verkrijgen als je met een browser bijvoorbeeld security.nl bezoekt en daar blijkt de webserver geinfecteerd met ontzettend slimme code die jouw netwerk infiltreert en alle nodes onderzoekt of er een QNAP os op draait. Vervolgens wordt de PHP bug misbruikt en wordt jouw NAS data geexporteerd naar Rusland waar Poetin gaat kijken wat jij allemaal op je NAS hebt opgeslagen.

Dat is een nogal ingewikkeld en mogelijk zelfs onhaalbaar scenario.

Directe Internet toegang tot jouw NAS is echter wel een probleem, daar draait dit hele verhaal om.

Dus: Ja Internet toegang tot jouw NAS moet uit blijven tot er een update is.
Reageer met quote
Gisteren, 14:54 door Anoniem
Door Anoniem: Welke idioot zet dan ook zijn NAS zonder bescherming online?

Hele volksstammen doen dat...
Reageer met quote
Gisteren, 16:19 door Anoniem
Door Anoniem: Welke idioot zet dan ook zijn NAS zonder bescherming online?

Omdat er van die leuke apps op draaien, zoals foto-backup, zodat je de vakantiefoto's aan je collega's kunt laten zien, of je MP3 verzameling in de auto kunt beluisteren via internet, of omdat je een private cloud gebouwd hebt die ook php gebruikt voor de presentatie...

Ik zeg niet dat het handig is, maar het zijn wel apps die vaak geinstalleerd worden volgens de databases van QNAP en Synology en UGREEN.
Reageer met quote
Gisteren, 16:56 door Anoniem
Door Anoniem: Welke idioot zet dan ook zijn NAS zonder bescherming online?

Heeft niks met bescherming te maken.
Zorg gewoon dat de NAS niet via het internet bereikbaar is. Dus port 8080 niet wagenwijd openzetten.
Reageer met quote
Gisteren, 17:51 door Anoniem
Door Anoniem:
Door Anoniem: Welke idioot zet dan ook zijn NAS zonder bescherming online?

Heeft niks met bescherming te maken.
Zorg gewoon dat de NAS niet via het internet bereikbaar is. Dus port 8080 niet wagenwijd openzetten.
Niet online is toch ook bescherming? Zorg dat je het ding via een VPN benadert, dat is bescherming. Klaar.
Reageer met quote
Gisteren, 19:09 door Anoniem
Hoe zit het met de fritz box?
Reageer met quote
Gisteren, 22:19 door Anoniem
Door Anoniem:
Door Anoniem: Welke idioot zet dan ook zijn NAS zonder bescherming online?

Hele volksstammen doen dat...
Dat maakt het nog steeds niet slim.....
Reageer met quote
Gisteren, 22:24 door Anoniem
Door Anoniem:
Door Anoniem: Welke idioot zet dan ook zijn NAS zonder bescherming online?

Omdat er van die leuke apps op draaien, zoals foto-backup, zodat je de vakantiefoto's aan je collega's kunt laten zien, of je MP3 verzameling in de auto kunt beluisteren via internet, of omdat je een private cloud gebouwd hebt die ook php gebruikt voor de presentatie...

Ik zeg niet dat het handig is, maar het zijn wel apps die vaak geinstalleerd worden volgens de databases van QNAP en Synology en UGREEN.
Het is idd NIET nodig om het kastje aan het internet te hangen. Kijk eens naar een VPN tunnel tussen telefoon en router thuis ( of wireguard achter de router) wireguard is eenvoudig en low overhead.
Reageer met quote
Gisteren, 23:42 door Anoniem
Door meinonA:
Door Anoniem:Synology loopt achter. Op de mijne draait PHP 8.2.30 wat ook de nieuwste versie is die Synology biedt.
Dat is dus niet de gepatchte 8.2.35 van php.net.
Jammer, een duimpje omlaag voor deze security!

Heb je gecontroleerd of de patch er in zit? De patch is namelijk gebackport t/m php 5.6 ...

Duimpje omlaag voor je gebrek aan onderzoek.
Is de breinrot hier ook al ingedaald?!
Versienummers zijn incrementeel, opvolgend. Op PHP.net staat dat het pas gefixed is in 8.2.35, wat dus betekent dat alles daar onder 8.2.34, 8.2.33 etc beslist moet worden geüpgraded.
Het is voor een leek als jij dan ook niet te bevatten dat versie 8.2 een MAJOR versie is, net als 8.3, 8.4. en 8.5.
Sterker nog, die ongelooflijk domme versienummers zijn voor niemand te volgen. Het is je dan ook niet aan te rekenen.
Maar ga mij dan niet op basis van een irrationeel gevoel gebrek aan onderzoek verwijten als je niet hebt gekeken hoe het werkt met PHP.
Die versie nummers is het zoveelste van PHP wat ook niet deugt, de lijst van gebreken is werkelijk eindeloos.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.

Zoeken
search
Certified Secure GenAI Deep Dive Security Training
Security Awareness Ransomware Edition