# PHP na NAS, firewalloch a zariadeniach: zabudnuté systémy

> Zraniteľnosť PHP na NAS, firewalle a zariadeniach: ktoré zariadenia môžu PHP používať, ako ich nájsť a čo robiť do aktualizácie firmvéru.

Zdroj: https://phpsos.de/sk/blog/php-auf-nas-und-appliances/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** PHP nebeží len na webových serveroch, ale aj vo webových rozhraniach NAS, firewallov a odborných zariadení alebo v balíkoch webového servera, ktoré ste si na NAS nainštalovali. Či je zariadenie dotknuté PHP2Shell, môže povedať len výrobca; aktualizácia prichádza cez firmvér. Vašou úlohou je tieto zariadenia nájsť, ich webové rozhrania odstrániť z internetu a sledovať hlásenia výrobcov.

## Prečo patria zariadenia s webovým rozhraním do otázky PHP

Keď sa hovorí o PHP2Shell, väčšina ľudí myslí na firemný web alebo internetový obchod. PHP je však aj v zariadeniach, ktoré nikto nepovažuje za webový server. Stoja v serverovni alebo v kancelárii, majú webové rozhranie na správu a často roky bežia bez pozornosti.

Zraniteľnosti CVE-2026-109618 a CVE-2026-109619 sa podľa php.net týkajú samotného PHP v spôsoboch prevádzky PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed. Ak webové rozhranie zariadenia používa jeden z týchto spôsobov so zraniteľnou verziou, platí tam rovnaké riziko. Rozdiel: PHP na zariadení spravidla nemôžete aktualizovať sami.

Že sa na takéto systémy zabúda, má pádne dôvody. Často ich zriadil dodávateľ, ktorý sa o ne už dávno nestará. Aktualizácie firmvéru neprebiehajú automaticky, ale vyžadujú kliknutie, ktoré nikto neurobí. A niektoré zariadenia prinášajú pohodlné funkcie vzdialeného prístupu, ktoré robia webové rozhranie dosiahnuteľným z internetu bez vedomia IT. Pri zraniteľnosti PHP ako PHP2Shell sa z tohto pohodlia stáva riziko.

## Zraniteľnosť PHP na NAS a zariadeniach: ktoré systémy prichádzajú do úvahy

Uvádzame tu druhy zariadení, nie výroky o jednotlivých modeloch. Či je konkrétny firmvér dotknutý, uvádzajú výlučne hlásenia výrobcu.

| Druh zariadenia | Ako sa PHP dostáva do hry | Kto aktualizuje |
|---|---|---|
| NAS s balíkom webového servera | Prevádzkujete na NAS vlastné weby alebo aplikácie v PHP | Výrobca dodáva balík PHP, nasadzujete ho vy |
| Distribúcie firewallov a routerov | Časti správcovského rozhrania sú napísané v PHP | Výrobca cez firmvér |
| Odborné zariadenia s webovým rozhraním | napr. telefónne ústredne, evidencia dochádzky, technika budov, ak výrobca používa PHP | Výrobca alebo odborný predajca |
| Virtuálne appliance | predkonfigurované VM s vlastným webovým rozhraním | Výrobca cez aktualizačný obraz |
| Kontajnery na NAS | aplikácie PHP v kontajneroch Docker | vy, cez nový obraz |

Dva doložené príklady: Synology umožňuje vo Web Station prevádzkovať weby v PHP s voliteľnými profilmi PHP a ohlásilo koniec podpory pre PHP 7.3, 7.4 a 8.0 v DSM 7.3. Bezpečnostné hlásenia Netgate k pfSense opisujú súbory PHP a chybové hlásenia PHP webového rozhrania. To len ukazuje, že PHP sa tam vyskytuje, nie že tieto produkty sú PHP2Shell dotknuté.

## Inventár: ako nájsť zabudnuté systémy

Najdôležitejším krokom je zoznam. Mnohé firmy presne vedia, ktoré weby prevádzkujú, ale nie, ktoré zariadenia majú webové rozhranie. Ako vyzerá trvalý inventár, opisuje článok [Inventár všetkých webov a serverov](https://phpsos.de/sk/blog/inventar-websites-server/).

1. **Zachytiť sieť:** Zozbierať zariadenia zo zoznamu DHCP, prehľadu switchov alebo firewallu.
2. **Označiť webové rozhrania:** U každého zariadenia si poznačiť, či sa spravuje cez HTTP alebo HTTPS.
3. **Skontrolovať sprístupnenia:** Vypísať presmerovania portov a služby vzdialeného prístupu v routeri. Každé webové rozhranie dosiahnuteľné z internetu ide na vrch zoznamu.
4. **Priradiť výrobcu:** Zaznamenať model, stav firmvéru a odkaz na bezpečnostné hlásenia výrobcu.
5. **Zachytiť vlastné služby:** Balíky webového servera a kontajnery nainštalované na NAS uviesť osobitne.

Prvý náznak sa dá získať neškodným dopytom na hlavičky. Príkaz len načíta úvodnú stránku a nič nemení:

```bash
# Zobraziť hlavičky servera webového rozhrania (adresa ako príklad)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
```

Ak sa tam objaví náznak PHP, je to záchytný bod. Ak chýba, nič to nedokazuje, pretože mnohé zariadenia tieto údaje zámerne potláčajú.

## Čo môžete urobiť, ak nemôžete záplatovať sami

Pri zariadeniach je záplata na výrobcovi. Dostupnosť je na vás a práve tam je najväčšia páka. BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) pri PHP2Shell odporúča webové servery bez aktualizácie dočasne odpojiť od siete; pre správcovské rozhrania zariadení to platí analogicky o to viac.

- **Odstrániť z internetu:** Odstráňte presmerovania portov na webové rozhrania a povoľte vzdialený prístup len cez VPN.
- **Oddeliť správcovskú sieť:** Sprístupnite webové rozhrania len zo samostatného sieťového segmentu pre administrátorov. Súvislosti v článku [Odtienenie administračných oblastí](https://phpsos.de/sk/blog/admin-bereiche-abschirmen/).
- **Vypnúť nepoužívané:** Deaktivujte balíky webového servera alebo aplikácie na NAS, ktoré už nikto nepotrebuje.
- **Sledovať hlásenia o firmvéri:** Zapnite upozornenia na aktualizácie a nasaďte ich včas, hneď ako ich výrobca uvoľní.
- **Vymeniť staré zariadenia:** Zariadenia bez podpory výrobcu už neprevádzkujte tak, aby boli dosiahnuteľné z internetu, a naplánujte výmenu.

> **Tip:**
> Ak na NAS prevádzkujete vlastné weby v PHP, platí pre ne to isté ako pre každý webový server: skontrolovať verziu, aktualizovať balík, reštartovať službu. Základy zraniteľnosti vysvetľuje [Čo je PHP2Shell?](https://phpsos.de/sk/php2shell/was-ist-php2shell/).

## Keď bolo zariadenie otvorene v sieti

Ak bolo webové rozhranie medzi 17. a 21. októbrom dosiahnuteľné z internetu a zariadenie je dotknuté, nestačí ho len aktualizovať. Skontrolujte, či sa nezmenili účty, zdieľané zložky alebo presmerovania, zabezpečte dostupné protokoly a zmeňte prístupové údaje. Zariadenie, ktoré bolo s útočníkom v sieti, môže slúžiť ako odrazový mostík k iným systémom.

Pri firewalloch a routeroch je to obzvlášť citlivé, pretože vidia všetku prevádzku. V pochybnostiach je obnovenie továrenských nastavení s čistou novou konfiguráciou spoľahlivejšie než hľadanie jednotlivých stôp; predtým by ste mali mať zabezpečené protokoly a konfiguráciu.

Pri NAS pribúda otázka dát. Často tam ležia zmluvy, personálne podklady alebo údaje zákazníkov. Ak mal útočník prístup k zariadeniu, musíte vyjasniť, či môže ísť o osobné údaje; vtedy môže existovať oznamovacia povinnosť podľa GDPR. Dohodnite to včas so svojím zodpovedným pracovníkom pre ochranu údajov, nejde o právne poradenstvo.

## Ako konkrétne pomáha PHP SOS?

- **Zaznamenať stav:** Spolu s vami zachytíme všetky systémy s webovým rozhraním, aj NAS, appliance a virtuálne stroje.
- **Skontrolovať dostupnosť:** Zvonku preveríme, ktoré rozhrania sú dosiahnuteľné z internetu, a navrhneme odtienenie. Hlbšiu kontrolu ponúka [bezpečnostný audit s penetračným testom](https://phpsos.de/sk/leistungen/sicherheitsaudit-penetrationstest/).
- **Sledovať situáciu u výrobcov:** Priradíme bezpečnostné hlásenia výrobcov k vašim zariadeniam a naplánujeme aktualizácie.
- **Objasniť podozrenie:** Ak bolo dotknuté zariadenie otvorene v sieti, zabezpečíme protokoly a skontrolujeme stopy.


## Časté otázky

**Týka sa PHP2Shell môjho NAS?**  
Záväzne to môže povedať len výrobca pre váš model a váš firmvér. Skontrolujte jeho bezpečnostné hlásenia a to, či na samotnom NAS prevádzkujete weby v PHP, napríklad cez balík webového servera. Kým sa to nevyjasní, rozhranie by nemalo byť dosiahnuteľné z internetu.

**Môžem PHP na NAS alebo firewalle aktualizovať sám?**  
Spravidla nie. PHP je tam súčasťou firmvéru alebo balíka od výrobcu. Aktualizácie prichádzajú cez funkciu aktualizácie zariadenia. Ručné zásahy do firmvéru môžu ohroziť záruku a stabilitu.

**Stačí používať webové rozhranie len v lokálnej sieti?**  
Riziko to výrazne znižuje, ale neodstraňuje. Už kompromitovaný počítač v tej istej sieti sa k rozhraniu stále dostane. Lepšia je samostatná správcovská sieť alebo prístup len cez VPN.

**Ako spoznám, že zariadenie používa PHP?**  
Niekedy to prezradí hlavička servera alebo koncovka .php v adresách rozhrania. Ak takéto náznaky chýbajú, nič to nedokazuje. Spoľahlivá je dokumentácia výrobcu a bezpečnostné hlásenia.

## Zdroje

- [php.net: bezpečnostné hlásenia](https://www.php.net/)
- [BSI: nemecký Spolkový úrad pre informačnú bezpečnosť](https://www.bsi.bund.de/)
- [Synology: koniec podpory pre PHP 7.3, 7.4 a 8.0](https://www.synology.com/en-global/products/status/eol-php73-php74-php80)
- [Netgate: pfSense Security Advisory SA-24_03 (webové rozhranie)](https://docs.netgate.com/downloads/pfSense-SA-24_03.webgui.asc)