Lỗ hổng PHP2Shell ảnh hưởng NAS, Nextcloud, OPNsense và hơn thế — QNAP chưa có bản vá

Tóm tắt nhanh

• PHP2Shell là hai lỗ hổng nghiêm trọng (CVE-2026-109618 và CVE-2026-109619) cho phép thực thi mã không xác thực, được chấm 9.2 theo CVSS 4.0.
• Bản vá PHP chính thức có trong PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35; PHP 8.1 và cũ hơn không được PHP project phát hành bản vá.
• Các bản vá PHP2Shell được tung ra tối thứ Tư và nhiều nhà cung cấp hosting đã áp dụng, nhưng các mạng gia đình và homelab khó quét hơn.
• watchTowr ghi nhận các thử nghiệm khai thác tích cực kể từ thứ Tư nhưng chưa thấy báo cáo xâm phạm thành công; BSI Đức cũng chưa biết vụ khai thác xác nhận.
• QNAP thông báo advisory QSA-26-18 (22/10): nhiều phiên bản QTS/QuTS/QuTScloud và một số dịch vụ như Note Station, QNE, QVR/TVR bị ảnh hưởng; trạng thái: đang sửa.
• QNAP chưa phát hành bản sửa cho nền tảng chính, khuyến cáo tắt NAS khỏi Internet, vô hiệu hoá port forwarding/UPnP, gỡ các gói không được hỗ trợ như Download Station.
• QNAP nhắc rằng bản cập nhật không che phủ PHP trong Container Station và đề nghị dùng VPN cho truy cập từ xa; giới hạn quản trị QuFirewall cho cổng 8080 và 443.
• Synology phát advisory Synology-SA-26:14 (22/10) và đã cập nhật các gói PHP trong Package Center (ví dụ PHP 8.4.27-0051, 8.3.36-0051); PHP 7.3 không được sửa do end-of-life.
• Synology cho rằng PHP tích hợp trong DSM ít có bề mặt tấn công bên ngoài và nguy cơ thấp; họ khuyến nghị thay profile PHP 7.3 trong Web Station sang phiên bản được hỗ trợ.
• O PNsense và pfSense đã có bản vá nhanh: OPNsense phát hotfix 26.7.7 (Community, PHP 8.5.12) và 26.4.2p3 (Business, PHP 8.3.36); nếu dùng captive portal cần khởi động lại sau cập nhật.

Tóm tắt tự động bằng AI từ bài gốc, có thể có sai sót. Hãy kiểm chứng ở bài gốc.