据TechRadar报道，近期发现的PHP2Shell严重漏洞不仅影响网站和Web服务器，也波及暴露在公网上的网络附加存储（NAS）设备以及基于PHP的Docker工作负载。部分主要NAS厂商尚未发布补丁，而相关漏洞已被实际利用。

TechRadar援引Apple Insider的研究称，该漏洞影响NAS厂商维护的软件，也影响在Docker容器中独立运行的应用程序；可通过公共互联网访问的NAS设备同样面临风险。Synology、QNAP等厂商表示正在修复，但工作尚未完成。

Synology发布安全公告称，PHP 7.3至8.4、Mail Station和Synology Calendar均受影响，并已发布更新后的PHP包。使用Synology NAS产品的用户应前往Package Center获取PHP 8.2和8.4更新包。该公司还强调，已安装的PHP包与DiskStation Manager中的PHP组件存在区别，内置PHP未暴露于公共互联网，因此很可能不面临风险。

QNAP确认多款产品受影响，包括QTS 5.2.11及更早版本、QTS 6.1.9、QuTS hero、QuTScloud和Note Station 3。QNAP表示正在开发修复程序，但未提供补丁发布时间表。该公司称目前没有证据显示其产品遭到实际攻击，但建议用户将设备从开放互联网移除，禁用不必要的端口转发、UPnP和远程访问服务。

Apple Insider发现，TerraMaster、Ugreen和Asustor等其他厂商也在开发修复程序。TechRadar称，NAS用户面临双重风险，因为PHP既存在于操作系统中，也存在于Docker容器中。在Docker中运行基于PHP服务的用户应检查容器镜像是否使用受影响版本，并尽快更新。

对于已停止支持、无法获得补丁的旧设备，安全专家建议将其移出公共访问范围，阻止未经请求的入站连接，仅保留本地访问，并通过安全VPN实现远程访问，而不是转发NAS管理端口。

PHP2Shell指近期在PHP编程语言中发现的两个漏洞CVE-2026-109618和CVE-2026-109619。二者均被评为严重级别，允许远程代码执行，可被用于接管网站、窃取数据、部署恶意软件等。据亚马逊称，漏洞信息在补丁发布前四天泄露；发布前10小时利用尝试为数百次，目前增至数百万次。多数尝试似乎未成功，分析仍在进行，部分研究人员认为代码执行需要绕过ASLR，而远程实现难度较大。安全社区敦促厂商尽快发布修复程序，用户立即应用。