Tóm tắt nhanh
- PHP2Shell gồm hai lỗ hổng nghiêm trọng trong PHP, cho phép kẻ tấn công thực thi mã từ xa mà không cần xác thực.
- NAS có thể bị ảnh hưởng khi gói PHP, ứng dụng chạy trên NAS hoặc container Docker được mở cho truy cập từ Internet.
- Synology đã công bố phiên bản vá cho nhiều gói, nhưng PHP 7.3 đã hết hỗ trợ; tình trạng bản vá của từng thiết bị QNAP cần kiểm tra theo thông báo chính thức mới nhất.
- Tắt chuyển tiếp cổng và UPnP không cần thiết; nếu cần truy cập từ xa, dùng VPN thay vì mở giao diện NAS trực tiếp ra Internet.
Hai lỗ hổng PHP2Shell có thể biến một dịch vụ PHP lộ ra Internet thành đường chạy mã trái phép trên máy chủ — và rủi ro ấy cũng chạm tới NAS gia đình hoặc văn phòng nhỏ nếu thiết bị đang chạy ứng dụng PHP công khai.
Điểm cần kiểm tra không phải chỉ là thương hiệu NAS. Người dùng cần biết dịch vụ PHP nào đang chạy, nó có thể được truy cập từ bên ngoài hay không, và phiên bản đó đã được vá chưa. PHP tích hợp trong hệ điều hành Synology được hãng đánh giá có nguy cơ rất thấp do không lộ ra bề mặt tấn công bên ngoài; kết luận này không áp dụng cho gói cài thêm hay ứng dụng người dùng tự đưa lên mạng.
Rủi ro nằm ở dịch vụ PHP có thể truy cập từ Internet
PHP2Shell là tên gọi chung của CVE-2026-109618 và CVE-2026-109619. QNAP cho biết hai lỗi nằm trong nhân PHP, có thể cho phép thực thi mã từ xa mà không cần xác thực; hãng ghi điểm CVSS v4.0 là 9.2. Bản vá trong dự án PHP được phát hành ngày 21/10/2026.
Với NAS, đường rủi ro có thể là gói PHP hoặc ứng dụng web tự lưu trữ, chẳng hạn một dịch vụ chạy trong container Docker. Nếu người dùng chuyển tiếp cổng trên router, bật DMZ hoặc để UPnP tự mở cổng, dịch vụ có thể trở nên truy cập được từ mạng Internet. Khi đó, máy chủ lưu trữ vốn đặt trong nhà cũng có thể bị dò quét như một máy chủ web thông thường.
Điều này không có nghĩa mọi thiết bị Synology hay QNAP đều đã bị xâm nhập. Synology phân biệt PHP nằm trong hệ điều hành DSM với các gói cài đặt riêng: hãng nói PHP tích hợp sẵn không tiếp xúc với bề mặt tấn công bên ngoài và nguy cơ khai thác được xem là rất thấp. Nhưng một NAS chạy Calendar, Mail Station, máy chủ web hay container PHP cần được đánh giá theo chính dịch vụ và cấu hình mạng của nó.
Synology đã nêu phiên bản vá, còn PHP 7.3 không được sửa
Thông báo bảo mật Synology-SA-26:14 liệt kê PHP 7.3 đến 8.4, Mail Station và Synology Calendar là các thành phần bị ảnh hưởng. Hãng đưa ra phiên bản khắc phục tối thiểu cho từng gói: PHP 7.4 lên 7.4.33-0131, PHP 8.0 lên 8.0.30-0122, PHP 8.1 lên 8.1.34-0120, PHP 8.2 lên 8.2.35-0171, PHP 8.3 lên 8.3.36-0051 và PHP 8.4 lên 8.4.27-0051. Calendar cần bản 3.0.4-21435 trở lên, còn Mail Station cần 30000002.3.19-20333 trở lên.
Riêng PHP 7.3 đã hết vòng đời hỗ trợ nên Synology nói sẽ không phát hành bản sửa lỗi. Nếu NAS còn phụ thuộc phiên bản này, chỉ chờ một bản cập nhật sẽ không giải quyết được vấn đề: cần tắt dịch vụ PHP liên quan hoặc cô lập thiết bị khỏi truy cập Internet, đồng thời xem xét chuyển ứng dụng sang phiên bản còn được hỗ trợ.
QNAP thông báo đội PSIRT đang đánh giá các sản phẩm và dịch vụ liên quan, đồng thời ghi nhận hoạt động quét và các nỗ lực khai thác nhắm vào lỗ hổng. Thông báo này cũng nói hãng đã triển khai biện pháp bảo vệ cho dịch vụ trực tuyến của chính QNAP; điều đó không đồng nghĩa NAS của khách hàng đã được vá. Chủ thiết bị nên tra trang Security Advisories theo model và phiên bản hệ điều hành, thay vì suy ra tình trạng của máy từ thông tin về website hoặc dịch vụ đám mây của hãng.
Đóng cổng công khai an toàn hơn việc trông chờ bot không tìm thấy NAS
Với người dùng phổ thông, việc cần làm ngay là kiểm tra router và NAS: tắt port forwarding, DMZ hoặc UPnP nếu không thật sự cần; tắt các dịch vụ truy cập từ xa không dùng; cài bản cập nhật của hệ điều hành, gói PHP và ứng dụng liên quan. Nếu cần truy cập tệp khi ở ngoài nhà, VPN như WireGuard hoặc OpenVPN giúp đưa thiết bị về mạng riêng thay vì phơi trực tiếp cổng quản trị NAS ra Internet.
Docker cần được kiểm tra riêng. Bản vá của hệ điều hành NAS không nhất thiết cập nhật image PHP bên trong từng container; chủ hệ thống phải xác định container nào dùng PHP, cập nhật image phù hợp và khởi chạy lại dịch vụ. Nếu ứng dụng cũ không còn được duy trì, hãy cân nhắc ngừng công khai dịch vụ đó cho tới khi có phương án an toàn.
Máy đã hết hỗ trợ là trường hợp khó hơn vì có thể không còn bản vá để cài. Hướng xử lý ít rủi ro nhất là bỏ truy cập từ WAN, chỉ dùng trong mạng nội bộ hoặc thông qua VPN, rồi lên kế hoạch thay thế hay chuyển dịch vụ sang nền tảng còn được cập nhật. NAS vẫn có thể tiếp tục làm nơi lưu trữ; điều cần tránh là để một dịch vụ dễ tổn thương nhận kết nối trực tiếp từ bất kỳ ai trên Internet.
Nguồn tham khảo: Synology Security Advisory Synology-SA-26:14; QNAP: PHP2Shell assessment and mitigation guidance; TechRadar.
