PHP2Shell yedekleme NAS'larını vurdu: QNAP'ta hâlâ yama çıkmadı

Ekim ayı başında PHP'de açıklanan PHP2Shell açıkları, ilk günlerde web sunucuları üzerinden konuşuldu. Aradan geçen bir haftada tablonun ikinci yarısı ortaya çıktı: aynı açıklar, ofislerde yedekleme ve dosya paylaşımı için kullanılan NAS cihazlarını da etkiliyor ve büyük üreticilerden biri henüz yama yayınlamış değil.

Söz konusu iki açık CVE-2026-109618 ve CVE-2026-109619 numaralarını taşıyor; ikisi de CVSS 4.0 ölçeğinde 9.2 puanla derecelendirildi. Her ikisi de uygulama seviyesindeki oturum açma adımından önce tetiklenebiliyor. Yani cihazın arayüzünde parola istenmesi tek başına koruma sağlamıyor. PHP ekibi düzeltmeleri 21 Ekim 2026'da 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümleriyle yayınladı.

Üreticiler arasındaki fark

Asıl sorun, NAS üreticilerinin PHP'yi kendi işletim sistemleri içinde paketlemesi. PHP'nin yamalanması, cihazın yamalandığı anlamına gelmiyor.

• Synology, 22 Ekim tarihli SA-26:14 bültenini yayınladı ve etkilenen PHP paketleri ile Mail Station, Synology Calendar için güncellemeleri Package Center üzerinden dağıtmaya başladı. Desteği sona eren PHP 7.3 için düzeltme yok.
• QNAP, 22 Ekim tarihli QSA-26-18 bülteninde QTS, QuTS hero, QuTScloud ve Note Station 3, QNE, QVR Surveillance gibi uygulamaların etkilendiğini duyurdu. Bu yazının hazırlandığı tarih itibarıyla düzeltilmiş sürüm alanı hâlâ "açıklanacak" durumunda. Desteği 30 Eylül'de biten Download Station ve PHP Extensions için düzeltme yapılmayacak.
• Asustor ADM 4.1-5.1 için çalışmalarının sürdüğünü, TerraMaster ise konuyu incelediğini bildirdi.

QNAP, kendi ürünlerine yönelik bir saldırı bildirimi almadığını açıkladı. Buna karşılık Amazon'un MadPot honeypot altyapısı, PHP2Shell'e yönelik ilk sömürü denemelerini 17 Ekim'de gözlemledi. watchTowr ise yamalardan sonra aktif deneme trafiği gördüğünü, ancak başarılı bir ele geçirme doğrulamadığını bildirdi.

KOBİ tarafında neden ciddi

NAS cihazı birçok ofiste ağın en sessiz makinesidir. Kurulur, yedek alması ayarlanır ve yıllarca arayüzü açılmaz. Oysa bu cihaz çoğu zaman muhasebe yedeklerini, proje dosyalarını, sözleşmeleri ve personel kayıtlarını tutar. Fidye yazılımı gruplarının son dönemde öncelikli hedefi de tam olarak burasıdır: yedeği şifreleyebilen saldırgan, pazarlık gücünü tamamen ele geçirir.

İkinci risk, uzaktan erişim için yapılan port yönlendirmeleridir. "Evden de dosyalara ulaşalım" diye açılan bir yönlendirme, kimlik doğrulaması gerektirmeyen bir açık söz konusu olduğunda cihazı internete açık hale getirir.

Kamer Bilişim olarak ne öneriyoruz?

• NAS'ınızı internete kapatın. Yönlendiriciden port yönlendirmelerini ve UPnP'yi devre dışı bırakın, myQNAPcloud Link gibi bulut yayın servislerini kapatın. Uzaktan erişim gerekiyorsa bunu VPN üzerinden kurgulayın. QNAP'ın kendi önerisi de bu yönde.
• Synology kullanıyorsanız bugün güncelleyin. Package Center'dan PHP paketlerini ve varsa Mail Station ile Calendar uygulamalarını güncelleyin. PHP 7.3 hâlâ kuruluysa kaldırın; o sürüme düzeltme gelmeyecek.
• Yedeğin tek kopyasını NAS'ta tutmayın. En az bir kopya cihazdan ve ağdan bağımsız olsun; harici disk, teyp veya ayrı kimlik bilgileriyle erişilen bir bulut alanı olabilir. Ağdaki tek yedek noktası, ağdaki tek arıza noktasıdır.

NAS ve yedekleme altyapınızın bu açıklardan etkilenip etkilenmediğini birlikte kontrol etmek, internete açık servislerinizi gözden geçirmek için iletişim sayfamızdan bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz.

Kaynak: QNAP Güvenlik Bülteni QSA-26-18 (22 Ekim 2026), Synology SA-26:14, Notebookcheck ve XenoSpectrum (23 Ekim 2026)