# PHP na NAS, firewallach i urządzeniach: zapomniane systemy > Luka PHP na NAS, firewallu i urządzeniu: które urządzenia mogą używać PHP, jak je znaleźć i co zrobić do czasu aktualizacji firmware. Źródło: https://phpsos.de/pl/blog/php-auf-nas-und-appliances/ Stan: 25.10.2026 Dostawca: PHP SOS, Pomoc awaryjna PHP i bezpieczeństwo serwerów. Natychmiastowa pomoc przez WhatsApp: https://wa.me/491736494914?text=Dzie%C5%84%20dobry%2C%20PHP%20SOS%2C%20potrzebujemy%20pomocy%20z%20naszym%20serwerem%20PHP.%20Firma%3A%20%E2%80%A6%20Strona%20internetowa%3A%20%E2%80%A6 **Krótko:** PHP działa nie tylko na serwerach WWW, lecz także w interfejsach webowych systemów NAS, firewalli i urządzeń specjalistycznych albo w pakietach serwera WWW zainstalowanych na NAS. To, czy urządzenie jest dotknięte PHP2Shell, może powiedzieć tylko producent; aktualizacja przychodzi przez firmware. Państwa zadaniem jest znaleźć te urządzenia, wyjąć ich interfejsy webowe z internetu i śledzić komunikaty producentów. ## Dlaczego urządzenia z interfejsem webowym należą do pytania o PHP Gdy mówi się o PHP2Shell, większość myśli o stronie firmowej lub sklepie internetowym. Tymczasem PHP tkwi także w urządzeniach, których nikt nie uważa za serwer WWW. Stoją w serwerowni lub w biurze, mają interfejs webowy do zarządzania i często działają latami bez uwagi. Luki CVE-2026-109618 i CVE-2026-109619 dotyczą według php.net samego PHP w trybach pracy PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed. Jeśli interfejs webowy urządzenia używa jednego z tych trybów z podatną wersją, ryzyko jest tam takie samo. Różnica: PHP na urządzeniu zwykle nie można zaktualizować samodzielnie. Takie systemy bywają zapominane z konkretnych powodów. Często skonfigurował je usługodawca, który dawno już ich nie obsługuje. Aktualizacje firmware nie przebiegają automatycznie, lecz wymagają kliknięcia, którego nikt nie wykonuje. A niektóre urządzenia mają wygodne funkcje zdalnego dostępu, które czynią interfejs webowy osiągalnym z internetu bez wiedzy działu IT. Przy luce PHP takiej jak PHP2Shell ta wygoda staje się ryzykiem. ## Luka PHP na NAS i urządzeniach: jakie systemy wchodzą w grę Podajemy tu rodzaje urządzeń, bez wypowiedzi o poszczególnych modelach. To, czy dany firmware jest dotknięty, wynika wyłącznie z komunikatów producenta. | Rodzaj urządzenia | Jak PHP wchodzi do gry | Kto aktualizuje | |---|---|---| | NAS z pakietem serwera WWW | Prowadzą Państwo własne strony lub aplikacje PHP na NAS | Producent dostarcza pakiet PHP, Państwo go instalują | | Dystrybucje firewalli i routerów | Części interfejsu zarządzania są napisane w PHP | Producent przez firmware | | Urządzenia specjalistyczne z interfejsem webowym | np. centrale telefoniczne, rejestracja czasu pracy, technika budynkowa, o ile producent używa PHP | Producent lub sprzedawca specjalistyczny | | Wirtualne appliance | wstępnie skonfigurowane maszyny wirtualne z własnym interfejsem webowym | Producent przez obraz aktualizacji | | Kontenery na NAS | aplikacje PHP w kontenerach Docker | Państwo, przez nowy obraz | Dwa udokumentowane przykłady: Synology pozwala w Web Station prowadzić strony PHP z wybieralnymi profilami PHP i zapowiedziało koniec wsparcia dla PHP 7.3, 7.4 i 8.0 w DSM 7.3. Komunikaty bezpieczeństwa Netgate o pfSense opisują pliki PHP i komunikaty błędów PHP interfejsu webowego. Pokazuje to tylko, że PHP tam występuje, a nie że te produkty są dotknięte PHP2Shell. ## Inwentarz: jak znaleźć zapomniane systemy Najważniejszym krokiem jest lista. Wiele firm dokładnie wie, jakie strony prowadzi, ale nie wie, które urządzenia mają interfejs webowy. Jak wygląda trwały inwentarz, opisuje artykuł [Inwentarz wszystkich stron i serwerów](https://phpsos.de/pl/blog/inventar-websites-server/). 1. **Zebrać sieć:** Zgromadzić urządzenia z listy DHCP, przeglądu przełączników lub firewalla. 2. **Oznaczyć interfejsy webowe:** Przy każdym urządzeniu zanotować, czy jest zarządzane przez HTTP lub HTTPS. 3. **Sprawdzić udostępnienia:** Wypisać przekierowania portów i usługi zdalnego dostępu w routerze. Każdy interfejs webowy osiągalny z internetu trafia na górę. 4. **Przypisać producenta:** Zapisać model, stan firmware i odnośnik do komunikatów bezpieczeństwa producenta. 5. **Zebrać własne usługi:** Zainstalowane na NAS pakiety serwera WWW i kontenery wymienić osobno. Pierwszą wskazówkę można uzyskać nieszkodliwym zapytaniem o nagłówki. Polecenie pobiera tylko stronę startową i niczego nie zmienia: ```bash # Wyświetlić nagłówki serwera interfejsu webowego (adres jako przykład) curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):" ``` Jeśli stoi tam wskazówka o PHP, to jest punkt zaczepienia. Jeśli jej brak, niczego to nie dowodzi, ponieważ wiele urządzeń celowo ukrywa takie informacje. ## Co można zrobić, gdy nie można samemu załatać W przypadku urządzeń poprawka leży po stronie producenta. Dostępność leży po Państwa stronie i właśnie tu jest największa dźwignia. BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej) zaleca przy PHP2Shell tymczasowo odłączyć od sieci serwery WWW bez aktualizacji; dla interfejsów zarządzania urządzeń obowiązuje to tym bardziej. - **Wyjąć z internetu:** Usunąć przekierowania portów do interfejsów webowych i zezwalać na zdalny dostęp tylko przez VPN. - **Rozdzielić sieć zarządzania:** Udostępnić interfejsy webowe tylko z osobnego segmentu sieci dla administratorów. Tło w artykule [Osłanianie paneli administracyjnych](https://phpsos.de/pl/blog/admin-bereiche-abschirmen/). - **Wyłączyć nieużywane:** Dezaktywować pakiety serwera WWW lub aplikacje na NAS, których nikt już nie potrzebuje. - **Śledzić komunikaty o firmware:** Włączyć powiadomienia o aktualizacjach i instalować je niezwłocznie, gdy producent je zwolni. - **Wymienić stare urządzenia:** Nie utrzymywać już urządzeń bez wsparcia producenta jako osiągalnych z internetu i zaplanować wymianę. > **Wskazówka:** > Jeśli prowadzą Państwo na NAS własne strony PHP, dla tych stron obowiązuje to samo co dla każdego serwera WWW: sprawdzić wersję, zaktualizować pakiet, zrestartować usługę. Podstawy luki wyjaśnia artykuł [Czym jest PHP2Shell?](https://phpsos.de/pl/php2shell/was-ist-php2shell/). ## Gdy urządzenie było wystawione na sieć Jeśli interfejs webowy był osiągalny z internetu między 17 a 21 października, a urządzenie jest dotknięte, nie należy go tylko aktualizować. Proszę sprawdzić, czy zmieniono konta, udostępnienia lub przekierowania, zabezpieczyć dostępne protokoły i zmienić dane dostępowe. Urządzenie, w którym w sieci był atakujący, może służyć jako odskocznia do innych systemów. W przypadku firewalli i routerów jest to szczególnie delikatne, ponieważ widzą cały ruch. W razie wątpliwości przywrócenie ustawień fabrycznych z czystą rekonfiguracją jest bardziej wiarygodne niż szukanie pojedynczych śladów; wcześniej protokoły i konfiguracja powinny być zabezpieczone. W przypadku NAS dochodzi pytanie o dane. Często leżą tam umowy, dokumenty kadrowe lub dane klientów. Jeśli atakujący mógł uzyskać dostęp do urządzenia, trzeba wyjaśnić, czy mogą być dotknięte dane osobowe; wtedy może istnieć obowiązek zgłoszenia na podstawie RODO. Proszę to wcześnie uzgodnić z inspektorem ochrony danych, nie jest to porada prawna. ## Jak konkretnie pomaga PHP SOS? - **Zinwentaryzować zasoby:** Razem z Państwem rejestrujemy wszystkie systemy z interfejsem webowym, także NAS, urządzenia i maszyny wirtualne. - **Sprawdzić dostępność:** Sprawdzamy z zewnątrz, które interfejsy są osiągalne z internetu, i proponujemy osłony. Głębszą kontrolę oferuje [audyt bezpieczeństwa z testem penetracyjnym](https://phpsos.de/pl/leistungen/sicherheitsaudit-penetrationstest/). - **Śledzić sytuację u producentów:** Przypisujemy komunikaty bezpieczeństwa producentów do Państwa urządzeń i planujemy aktualizacje. - **Wyjaśnić podejrzenie:** Jeśli dotknięte urządzenie było wystawione na sieć, zabezpieczamy protokoły i szukamy śladów. ## Częste pytania **Czy mój NAS jest dotknięty PHP2Shell?** Wiążąco może to powiedzieć tylko producent dla Państwa modelu i firmware. Proszę sprawdzić jego komunikaty bezpieczeństwa oraz czy na samym NAS prowadzą Państwo strony PHP, na przykład przez pakiet serwera WWW. Do wyjaśnienia interfejs nie powinien być dostępny z internetu. **Czy mogę samodzielnie zaktualizować PHP na NAS lub firewallu?** Zasadniczo nie. PHP jest tam częścią firmware lub pakietu producenta. Aktualizacje przychodzą przez funkcję aktualizacji urządzenia. Ręczne ingerencje w firmware mogą zagrozić gwarancji i stabilności. **Czy wystarczy używać interfejsu webowego tylko w sieci lokalnej?** Znacznie to obniża ryzyko, ale go nie usuwa. Skompromitowany już komputer w tej samej sieci nadal może dotrzeć do interfejsu. Lepsza jest osobna sieć zarządzania lub dostęp wyłącznie przez VPN. **Po czym poznać, że urządzenie używa PHP?** Czasem zdradza to nagłówek serwera lub końcówka .php w adresach interfejsu. Brak takich wskazówek niczego nie dowodzi. Wiarygodne są dokumentacja producenta i komunikaty bezpieczeństwa. ## Źródła - [php.net: komunikaty bezpieczeństwa](https://www.php.net/) - [BSI: Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej (Niemcy)](https://www.bsi.bund.de/) - [Synology: koniec wsparcia dla PHP 7.3, 7.4 i 8.0](https://www.synology.com/en-global/products/status/eol-php73-php74-php80) - [Netgate: pfSense Security Advisory SA-24_03 (interfejs webowy)](https://docs.netgate.com/downloads/pfSense-SA-24_03.webgui.asc)