PHP2Shell llega a los NAS: no todos tienen actualizaciones
La vulnerabilidad PHP2Shell no amenaza solo a sitios web y servidores web. También están en el punto de mira los dispositivos NAS, sistemas de almacenamiento en red para guardar archivos y copias de seguridad, y ejecutar aplicaciones a través de la red. Lo especialmente preocupante es que ya se está intentando aprovechar la vulnerabilidad en ataques reales y algunos grandes fabricantes aún no han publicado parches.
Según señala Apple Insider, el problema afecta al software de los fabricantes de NAS, así como a aplicaciones que funcionan por separado en contenedores Docker. Si el dispositivo de almacenamiento está accesible desde internet, el riesgo es mayor: un atacante puede intentar atacarlo a distancia.
Synology ha comunicado que son vulnerables las versiones de PHP de la 7.3 a la 8.4, así como Mail Station y Synology Calendar. La empresa ha publicado paquetes actualizados de PHP para solucionar el problema. Los propietarios de dispositivos Synology deben abrir Package Center, buscar el archivo y comprobar si hay actualizaciones de PHP 8.2 y PHP 8.4.
Synology ha aclarado, no obstante, una diferencia importante: los paquetes de PHP instalados por separado no son lo mismo que los componentes de PHP integrados en DiskStation Manager (DSM), el sistema operativo del dispositivo de almacenamiento. Según la empresa, el PHP integrado no está accesible desde la internet pública y, por tanto, probablemente no corre el mismo riesgo.
QNAP ha confirmado que están afectados muchos productos: QTS 5.2.11 y versiones anteriores, QTS 6.1.9, QuTS hero, QuTScloud y Note Station 3. El fabricante está preparando un parche, pero aún no ha indicado cuándo lo publicará. Por el momento no hay indicios de ataques reales contra dispositivos QNAP, aunque la empresa recomienda retirar los sistemas de almacenamiento del acceso público, desactivar la redirección de puertos innecesaria, UPnP y los servicios de acceso remoto.
TerraMaster, Ugreen y Asustor también están trabajando en parches. Los propietarios de NAS deberían consultar los avisos de seguridad y las actualizaciones correspondientes a su modelo concreto.
El riesgo afecta a dos ámbitos: PHP puede utilizarse tanto en el sistema operativo del NAS como en aplicaciones dentro de contenedores Docker. Si en un contenedor funcionan servicios basados en PHP, hay que comprobar su versión y actualizar la imagen cuanto antes: una plantilla preparada del contenedor con programas y ajustes.
Otro problema son los dispositivos antiguos cuyo periodo de soporte ha terminado. Es posible que ya no reciban nuevos parches. Los especialistas recomiendan impedir que esos NAS sean accesibles desde internet, bloquear las conexiones entrantes no solicitadas y utilizarlos únicamente en la red local. Si es imprescindible el acceso remoto, es más seguro conectarse mediante una VPN —un canal de comunicación protegido— que dejar expuestos a internet los puertos de administración del dispositivo de almacenamiento.
PHP2Shell es el nombre colectivo de dos vulnerabilidades críticas del lenguaje PHP: CVE-2026-109618 y CVE-2026-109619. Permiten ejecutar código de forma remota y, potencialmente, hacerse con el control de un sitio web o dispositivo, robar datos o instalar software malicioso. Un problema que empezó con sitios web y aplicaciones ha alcanzado ahora también a los NAS.
La magnitud de PHP2Shell ya se compara con la de las vulnerabilidades Spectre y Meltdown, descubiertas hace ocho años. Según Amazon, la información sobre el problema se filtró cuatro días antes de que se publicaran los parches. El número de intentos de explotación pasó de varios cientos en diez horas antes de su divulgación pública a millones hasta la fecha. A juzgar por los datos disponibles, la mayoría de los intentos no ha tenido éxito.
Los especialistas aún están averiguando por qué los ataques suelen fallar. Una hipótesis es que, para ejecutar código, los atacantes tienen que superar ASLR, un mecanismo que distribuye aleatoriamente los datos en la memoria y dificulta los ataques remotos. Pero eso no es motivo para considerar inocua la amenaza: los investigadores advierten de que un ataque exitoso podría ser solo cuestión de tiempo. Por eso, los fabricantes deben publicar parches y los propietarios, instalarlos sin demora.
PEREC.RU
La seguridad digital tiene una curiosa costumbre: se vuelve urgente justo cuando millones de personas ya hablan de una vulnerabilidad. Hasta entonces, los fabricantes probablemente preferían creer que sus sistemas de almacenamiento estaban tras una puerta segura. Resulta que, a veces, la puerta da directamente a internet, porque es más cómodo y porque la prudencia en la configuración no da pie a vistosas presentaciones trimestrales.
Los fabricantes prometen parches y recomiendan a los propietarios instalarlos de inmediato. En esta obra conocida, cada cual interpreta su papel: la empresa publica un boletín, el administrador busca la versión de PHP adecuada y el usuario descubre que el contenedor Docker con un servicio lleva tiempo haciendo su vida por su cuenta. La casa digital está construida con actualizaciones que nadie comprobó y puertos que se abrieron «solo un momento».
La situación de los dispositivos cuyo soporte ha terminado resulta especialmente elocuente. El equipo sigue guardando datos, pero el fabricante ya no está obligado a repararlo: una cómoda división de responsabilidades. El usuario es dueño de la caja y, con ella, recibe una entrada al museo del software obsoleto. Si el NAS sigue expuesto a internet, el ahorro en sustituirlo puede convertirse de pronto en un generoso regalo para quien encuentre primero la llave.
Por ahora, la mayoría de los intentos de explotación fracasa, y eso, naturalmente, es un magnífico motivo para relajarse, si uno considera las estadísticas una protección temporal. ASLR dificulta el ataque remoto, pero no convierte la vulnerabilidad en un mero adorno. Cuando el número de ataques pasa de cientos a millones, confiar en que «no nos verán» no parece una estrategia, sino una forma de aplazar una conversación desagradable.
Aquí no hay ningún villano especialmente misterioso: basta con combinar código vulnerable, puertos abiertos y la costumbre de dejar el mantenimiento para más adelante. Las ventajas de un cómodo acceso remoto se aprecian enseguida; el coste del riesgo aparece después, y normalmente no lo paga quien activó UPnP por defecto. Por eso, los fabricantes no solo tendrán que publicar parches, sino también explicar con más claridad qué está afectado; los propietarios, dejar de considerar el NAS un inofensivo armario con discos.
Usar una VPN en lugar de dejar puertos abiertos, desactivar servicios innecesarios e instalar las actualizaciones a tiempo suena menos espectacular que otra presentación de una «ecosistema inteligente». Pero es uno de esos raros casos en que la aburrida prevención sale realmente más barata que las consecuencias. En un sector donde «conectado» se vende a menudo como sinónimo de «seguro», esta conclusión es casi revolucionaria y, por eso mismo, especialmente incómoda.
