PHP2Shell угрожает NAS: Synology закрыла дыры, QNAP ждёт патчей

Критические уязвимости PHP (CVE-2026-109618 и CVE-2026-109619) позволяют выполнять код на серверах без входа; патчи вышли 21 октября для PHP 8.2–8.5. Synology уже выпустила обновлённые пакеты PHP, QNAP подтвердила уязвимость QTS и QuTS, но сроков исправлений не назвала. TerraMaster, Ugreen и Asustor ещё проверяют свои продукты.

• Уязвимости CVE-2026-109618 и CVE-2026-109619 дают удалённое выполнение кода без авторизации
• Amazon зафиксировала попытку эксплуатации 17 октября, за 4 дня до раскрытия уязвимостей
• Synology закрыла PHP 7.3–8.4, Mail Station и Calendar; QNAP патчей пока не выпустила
• PHP внутри Docker-контейнеров обновляется отдельно от прошивки NAS