NAS Synology et PHP2Shell : les paquets à mettre à jour sur votre serveur de fichiers
Quels paquets sont concernés, les versions corrigées selon votre DSM, et comment réduire l'exposition du NAS en PME
Image générée par IA (art. 50 AI Act)
Analyse 2LKATIME
Le 2 novembre, le CERT-FR a publié l'avis CERTFR-2026-AVI-1435 : les failles PHP2Shell touchent aussi les NAS Synology. Dans beaucoup de PME, ce boîtier héberge les fichiers de l'équipe, parfois un site ou un webmail, et personne ne pense à le mettre à jour. Cet article liste les paquets à vérifier. Il prolonge notre article sur les failles PHP.
Un NAS piraté, c'est toute l'entreprise qui s'arrête
Le NAS concentre les documents, les sauvegardes et parfois les accès à d'autres systèmes. Une prise de contrôle permet de chiffrer ou de voler les fichiers, et les sauvegardes stockées sur la même machine tombent avec eux.
Synology a publié son bulletin Synology-SA-26:14 le 22 octobre, un jour après le correctif de PHP. Il classe les deux failles en gravité critique, avec un score de 9,8 chacune. Les versions corrigées existent, mais encore faut-il les installer, paquet par paquet.
Un NAS ne se met pas à jour comme un ordinateur. DSM, le système, reçoit ses mises à jour d'un côté, et chaque application ou version de PHP en reçoit d'autres, indépendantes. C'est ce second niveau qui est concerné ici.
1. Ce que dit Synology
22 oct.
Publication du bulletin Synology, un jour après le correctif PHP
9,8
Score CVSS 3.1 de chacune des deux failles, gravité critique
29 oct.
Ajout des correctifs pour DSM 6.2, 7.0 et 7.1
PHP 7.3
Aucun correctif : version en fin de vie
Selon le bulletin, un attaquant distant peut exécuter du code arbitraire par le biais de versions vulnérables de quatre catégories de paquets : Synology Calendar, Mail Station, Hyper Backup et les paquets PHP 7.3 à 8.4. Hyper Backup a été ajouté le 26 octobre, puis classé comme non concerné. Les failles sont les CVE-2026-109618 et CVE-2026-109619, les mêmes que sur les serveurs web classiques.
Le bulletin précise un point rassurant : le PHP intégré au système DSM n'est pas exposé aux attaques extérieures, et Synology juge le risque d'exploitation très faible. Le danger vient des paquets que vous avez installés vous-même, ou qu'un prestataire a installés pour vous.
Une petite divergence de dates : l'avis du CERT-FR cite le bulletin Synology « du 31 octobre », alors que la page de Synology indique une publication le 22 octobre et une dernière mise à jour le 29. Nous retenons les dates de l'éditeur.
2. Les versions corrigées
Votre NAS est à jour si chaque paquet installé affiche le numéro du tableau ou un numéro plus récent. Les numéros dépendent de votre version de DSM.
| Paquet | Version corrigée ou supérieure | DSM |
|---|---|---|
| Synology Calendar | 3.0.4-21435 | DSM 7.2 et plus |
| Synology Calendar | 2.4.8-10948 | DSM 7.0 et 7.1 |
| Synology Calendar | 2.4.8-0948 | DSM 6.2 |
| Mail Station | 30000002.3.19-20333 | DSM 7.2 et plus |
| Mail Station | 30000002.3.19-10333 | DSM 7.0 et 7.1 |
| Mail Station | 30000002.3.19-0333 | DSM 6.2 |
| PHP 7.4 | 7.4.33-0131 / 7.4.33-0122 / 7.4.33-0010 | DSM 7.2+ / 7.0 et 7.1 / 6.2 |
| PHP 8.0 | 8.0.30-0122 / 8.0.30-0104 | DSM 7.2+ / 7.0 et 7.1 |
| PHP 8.1 | 8.1.34-0120 | Le bulletin ne distingue pas les DSM |
| PHP 8.2 | 8.2.35-0171 | Le bulletin ne distingue pas les DSM |
| PHP 8.3 | 8.3.36-0051 | Le bulletin ne distingue pas les DSM |
| PHP 8.4 | 8.4.27-0051 | Le bulletin ne distingue pas les DSM |
| PHP 7.3 | Aucune | Fin de vie : pas de correctif |
Le dernier cas est le plus délicat. PHP 7.3 a atteint sa fin de vie et Synology ne publiera rien. Si un site de votre NAS fonctionne encore avec ce profil, il reste vulnérable tant qu'il est joignable. La seule sortie consiste à migrer le site vers une version de PHP que Synology corrige.
3. Comment vérifier et mettre à jour
Connectez-vous à DSM avec un compte administrateur et ouvrez le Centre de paquets. Dans la liste des paquets installés, repérez les paquets PHP, Mail Station et Synology Calendar, et lisez le numéro de version affiché sous chacun. Si une mise à jour est proposée, appliquez-la.
Trois précautions. Faites d'abord une sauvegarde de la configuration du NAS et des sites hébergés. Mettez à jour un paquet à la fois et testez le site ensuite, car une mise à jour de PHP peut changer le comportement d'une application ancienne. Enfin, dans Web Station, contrôlez quel profil PHP sert chaque site : un NAS qui garde un ancien profil actif expose un paquet vulnérable même si un plus récent est installé.
Profitez-en pour désinstaller ce qui ne sert pas. Un Mail Station ou un Calendar que personne n'utilise est une surface d'attaque gratuite.
4. Votre NAS est-il joignable depuis Internet ?
C'est la question qui détermine l'urgence. Un NAS fermé reste à l'abri d'un attaquant extérieur ; un NAS ouvert est une cible comme n'importe quel serveur web. Quatre situations expliquent l'essentiel des expositions en PME.
Redirection de ports et nom de domaine
Une règle sur la box qui renvoie le port 80 ou 443 vers le NAS, ou un nom DDNS qui pointe dessus, rend le serveur web joignable depuis Internet. C'est le cas le plus fréquent en PME.
QuickConnect et services de partage
QuickConnect passe par les serveurs de Synology. Il facilite l'accès aux fichiers à distance, mais vérifiez ce qu'il expose réellement : un service web exposé par ce biais est aussi un point d'entrée.
Le reverse proxy
Un reverse proxy placé devant le NAS limite ce qui est visible, sans corriger la faille. Les requêtes d'attaque le traversent comme n'importe quelle requête web.
L'accès par VPN seulement
La solution la plus sûre pour un NAS interne : aucun port ouvert, et les employés se connectent par VPN. Si le NAS n'a pas besoin d'être public, fermez-le.
5. Si le NAS a été exposé depuis le 17 octobre
Les premières tentatives contre PHP datent du 17 octobre, quatre jours avant le correctif. Un NAS exposé et non corrigé pendant cette période a pu être visé. Aucune source que nous avons lue ne signale d'exploitation sur les produits Synology, ce qui ne prouve rien pour le vôtre.
Regardez dans le Centre de journaux et dans les journaux de Web Station les pics d'erreurs ou les requêtes inhabituelles. Cherchez dans le dossier web des fichiers PHP que vous ne reconnaissez pas, des comptes DSM inconnus, des tâches planifiées que personne n'a créées, et un accès SSH activé sans raison. Notre guide de détection explique la logique générale, même si les commandes visent un serveur Linux classique.
En cas de doute sérieux, déconnectez le NAS du réseau avant de poursuivre l'enquête, et vérifiez que vos sauvegardes sont intactes et conservées ailleurs. Notre article Faut-il couper son site en cas de faille critique ? aide à décider quand isoler une machine.
6. Conformité
Un NAS qui contient des données personnelles de clients ou de salariés relève du RGPD. L'article 32 demande des mesures de sécurité adaptées, dont l'application des correctifs. Notez la date de chaque mise à jour et conservez une capture des numéros de version : c'est la preuve que vous avez agi. Si une intrusion est avérée et touche des données personnelles, la notification à la CNIL se fait sous 72 heures. Les entités soumises à NIS2 ont en outre une alerte précoce à émettre sous 24 heures pour un incident significatif.
7. Ce que 2LKATIME recommande
Faites l'inventaire de vos NAS et autres boîtiers qui exécutent PHP : serveur de fichiers, sauvegarde, caméra, imprimante réseau. Notez pour chacun la version, l'exposition et la date de dernière mise à jour. Nos audits cybersécurité incluent cet inventaire et un test d'exposition depuis Internet.
Les entreprises de Paris, de Lyon ou de Bordeaux trouveront les formules sur nos pages tarifs. L'accompagnement se fait aussi à distance partout en France.
FAQ - NAS Synology et PHP2Shell
Mon NAS n'est pas ouvert sur Internet : dois-je quand même mettre à jour ?
Oui, mais l'urgence est moindre. Un NAS joignable seulement depuis le réseau local n'est pas atteignable par un attaquant extérieur, qui devrait d'abord entrer dans votre réseau. Une fois dedans, il trouverait un serveur vulnérable. Mettez à jour dans la semaine, et profitez-en pour vérifier que rien n'est exposé par erreur.
Le PHP intégré à DSM est-il touché ?
Synology précise que le PHP intégré au système n'est pas exposé aux attaques extérieures et juge le risque d'exploitation très faible. Les paquets concernés sont ceux que vous installez : les versions de PHP du Centre de paquets, Mail Station et Synology Calendar.
J'utilise PHP 7.3 sur mon NAS : que faire ?
Synology ne fournira pas de correctif, car cette version est en fin de vie. Dans Web Station, basculez vos sites vers un profil PHP plus récent (8.2 ou plus), après un test, puis désinstallez PHP 7.3. Tant qu'il reste actif et joignable, il reste exploitable.
Mon NAS se met-il à jour tout seul ?
Cela dépend de vos réglages. DSM peut mettre à jour les paquets automatiquement, mais l'option est souvent désactivée ou limitée aux correctifs de sécurité. Ouvrez le Centre de paquets, onglet des paquets installés, et comparez les numéros de version avec ceux du tableau.
Mon NAS est sous DSM 6.2 ou 7.0 : les correctifs existent-ils ?
Oui pour PHP 7.4, Mail Station et Synology Calendar, d'après le bulletin Synology, qui a ajouté ces versions de DSM le 29 octobre. Pour DSM 6.2, le bulletin ne liste que PHP 7.4, Mail Station et Synology Calendar. Si votre NAS n'évolue plus, prévoyez son remplacement ou sa migration.
Sources
Votre NAS est-il joignable depuis Internet sans que vous le sachiez ?
2LKATIME teste l'exposition de vos équipements, vérifie les versions installées et vous remet un rapport clair avec les actions à mener.