# PHP na NAS, firewallech a zařízeních: zapomenuté systémy

> Bezpečnostní chyba PHP na NAS, firewallu a zařízeních: která zařízení mohou PHP používat, jak je najít a co dělat do aktualizace firmwaru.

Zdroj: https://phpsos.de/cs/blog/php-auf-nas-und-appliances/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** PHP neběží jen na webových serverech, ale i ve webových rozhraních systémů NAS, firewallů a odborných zařízení, nebo v balíčcích webového serveru, které jste si na NAS nainstalovali. Zda je zařízení postiženo PHP2Shell, může říci jen výrobce; aktualizace přichází přes firmware. Vaším úkolem je tato zařízení najít, jejich webová rozhraní stáhnout z internetu a sledovat oznámení výrobců.

## Proč zařízení s webovým rozhraním patří k otázce PHP

Když se mluví o PHP2Shell, většina lidí myslí na firemní web nebo e-shop. PHP je však také v zařízeních, která nikdo nepovažuje za webový server. Stojí v serverovně nebo v kanceláři, mají webové rozhraní pro správu a často běží roky bez pozornosti.

Zranitelnosti CVE-2026-109618 a CVE-2026-109619 se podle php.net týkají samotného PHP v provozních režimech PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed. Pokud webové rozhraní zařízení používá některý z těchto režimů se zranitelnou verzí, platí riziko tam stejně. Rozdíl: PHP na zařízení zpravidla nemůžete sami aktualizovat.

Že se na takové systémy zapomíná, má věcné důvody. Často je zřídil dodavatel, který se o ně už dávno nestará. Aktualizace firmwaru neběží automaticky, ale vyžadují klik, který nikdo neudělá. A některá zařízení mají pohodlné funkce vzdáleného přístupu, které zpřístupní webové rozhraní z internetu bez vědomí IT. U bezpečnostní chyby PHP, jako je PHP2Shell, se z tohoto pohodlí stává riziko.

## Bezpečnostní chyba PHP na NAS a zařízeních: které systémy přicházejí v úvahu

Uvádíme zde druhy zařízení, nikoli tvrzení o jednotlivých modelech. Zda je určitý firmware postižen, stojí výhradně v oznámeních výrobce.

| Druh zařízení | Jak se PHP dostává do hry | Kdo aktualizuje |
|---|---|---|
| NAS s balíčkem webového serveru | Provozujete na NAS vlastní weby nebo aplikace PHP | Výrobce dodává balíček PHP, vy jej nasadíte |
| Distribuce firewallů a routerů | Části správního rozhraní jsou napsány v PHP | Výrobce přes firmware |
| Odborná zařízení s webovým rozhraním | např. telefonní ústředny, docházka, technika budov, pokud výrobce používá PHP | Výrobce nebo odborný prodejce |
| Virtuální appliance | předkonfigurované VM s vlastním webovým rozhraním | Výrobce přes aktualizační image |
| Kontejnery na NAS | aplikace PHP v kontejnerech Docker | Vy, novým image |

Dva doložené příklady: Synology umožňuje ve Web Station provozovat weby PHP s volitelnými profily PHP a oznámilo konec podpory PHP 7.3, 7.4 a 8.0 pod DSM 7.3. Bezpečnostní oznámení Netgate k pfSense popisují soubory PHP a chybová hlášení PHP webového rozhraní. To jen ukazuje, že se tam PHP vyskytuje, nikoli že jsou tyto produkty postiženy PHP2Shell.

## Inventář: jak najít zapomenuté systémy

Nejdůležitějším krokem je seznam. Mnoho firem přesně ví, které weby provozují, ale ne které zařízení má webové rozhraní. Jak vypadá trvalý inventář, popisuje článek [Inventář všech webů a serverů](https://phpsos.de/cs/blog/inventar-websites-server/).

1. **Zachytit síť:** Shromáždit zařízení ze seznamu DHCP, z přehledu switche nebo firewallu.
2. **Označit webová rozhraní:** U každého zařízení poznamenat, zda se spravuje přes HTTP nebo HTTPS.
3. **Zkontrolovat zpřístupnění:** Vypsat přesměrování portů a služby vzdáleného přístupu v routeru. Každé webové rozhraní dostupné z internetu jde nahoru.
4. **Přiřadit výrobce:** Zaznamenat model, stav firmwaru a odkaz na bezpečnostní oznámení výrobce.
5. **Zachytit vlastní služby:** Webové servery nainstalované na systémech NAS a kontejnery uvést samostatně.

První vodítko lze získat neškodným dotazem na hlavičky. Příkaz jen načte úvodní stránku a nic nemění:

```bash
# Zobrazit hlavičky serveru webového rozhraní (adresa jako příklad)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
```

Pokud tam stojí zmínka o PHP, je to vodítko. Pokud chybí, nic to nedokazuje, protože mnoho zařízení takové údaje záměrně potlačuje.

## Co můžete dělat, když nemůžete záplatovat sami

U zařízení leží záplata na výrobci. Dostupnost leží na vás a právě tam je největší páka. BSI (německý Spolkový úřad pro informační bezpečnost) u PHP2Shell doporučuje webové servery bez aktualizace dočasně odpojit od sítě; pro správní rozhraní zařízení to platí obdobně tím spíše.

- **Stáhnout z internetu:** Odstranit přesměrování portů na webová rozhraní a vzdálený přístup povolit jen přes VPN.
- **Oddělit správní síť:** Webová rozhraní zpřístupnit jen z vlastního síťového segmentu pro administrátory. Souvislosti v článku [Odstínění administračních oblastí](https://phpsos.de/cs/blog/admin-bereiche-abschirmen/).
- **Vypnout nepoužívané:** Deaktivovat balíčky webového serveru nebo aplikace na NAS, které už nikdo nepotřebuje.
- **Sledovat oznámení o firmwaru:** Zapnout upozornění na aktualizace a nasadit je ihned, jakmile je výrobce uvolní.
- **Vyměnit staré přístroje:** Zařízení bez podpory výrobce už neprovozovat dostupná z internetu a naplánovat výměnu.

> **Tip:**
> Provozujete-li na NAS vlastní weby PHP, platí pro tyto weby totéž co pro každý webový server: zkontrolovat verzi, aktualizovat balíček, restartovat službu. Základy zranitelnosti vysvětluje článek [Co je PHP2Shell?](https://phpsos.de/cs/php2shell/was-ist-php2shell/).

## Když zařízení stálo otevřeně v síti

Pokud bylo webové rozhraní mezi 17. a 21. říjnem dostupné z internetu a zařízení je postiženo, neměli byste je jen aktualizovat. Zkontrolujte, zda se nezměnily účty, sdílené složky nebo přesměrování, zajistěte dostupné protokoly a změňte přístupové údaje. Zařízení, které mělo v síti útočníka, může sloužit jako odrazový můstek k dalším systémům.

U firewallů a routerů je to zvlášť citlivé, protože vidí veškerý provoz. V případě pochybností je obnovení továrního nastavení s čistou novou konfigurací spolehlivější než hledání jednotlivých stop; předtím by měly být zajištěny protokoly a konfigurace.

U NAS přistupuje otázka dat. Často tam leží smlouvy, personální dokumenty nebo zákaznická data. Mohl-li útočník k zařízení přistoupit, musíte objasnit, zda mohou být dotčeny osobní údaje; pak může existovat oznamovací povinnost podle GDPR. Proberte to včas s pověřencem pro ochranu osobních údajů, nejde o právní poradenství.

## Jak konkrétně pomáhá PHP SOS?

- **Zaznamenat inventář:** Společně s vámi zachytíme všechny systémy s webovým rozhraním, i NAS, appliance a virtuální stroje.
- **Zkontrolovat dostupnost:** Zvenčí ověřujeme, která rozhraní jsou dostupná z internetu, a navrhujeme odstínění. Hlubší kontrolu nabízí [bezpečnostní audit s penetračním testem](https://phpsos.de/cs/leistungen/sicherheitsaudit-penetrationstest/).
- **Sledovat situaci u výrobců:** Bezpečnostní oznámení výrobců přiřazujeme vašim zařízením a plánujeme aktualizace.
- **Objasnit podezření:** Stálo-li postižené zařízení otevřeně v síti, zajistíme protokoly a hledáme stopy.


## Časté dotazy

**Týká se PHP2Shell mého NAS?**  
Závazně to pro váš model a firmware může říci jen výrobce. Zkontrolujte jeho bezpečnostní oznámení a zda na samotném NAS provozujete weby PHP, například přes balíček webového serveru. Do vyjasnění by rozhraní nemělo být dostupné z internetu.

**Mohu PHP na NAS nebo firewallu aktualizovat sám?**  
Zpravidla ne. PHP je tam součástí firmwaru nebo balíčku výrobce. Aktualizace přicházejí přes funkci aktualizace zařízení. Ruční zásahy do firmwaru mohou ohrozit záruku a stabilitu.

**Stačí používat webové rozhraní jen v lokální síti?**  
Riziko to výrazně snižuje, ale neodstraňuje. Již kompromitovaný počítač ve stejné síti se k rozhraní stále dostane. Lepší je samostatná správní síť nebo přístup jen přes VPN.

**Jak poznám, že zařízení používá PHP?**  
Někdy to prozradí hlavička serveru nebo koncovka .php v adresách rozhraní. Pokud takové stopy chybí, nic to nedokazuje. Spolehlivé jsou dokumentace výrobce a bezpečnostní oznámení.

## Zdroje

- [php.net: bezpečnostní oznámení](https://www.php.net/)
- [BSI: Spolkový úřad pro informační bezpečnost](https://www.bsi.bund.de/)
- [Synology: konec podpory PHP 7.3, 7.4 a 8.0](https://www.synology.com/en-global/products/status/eol-php73-php74-php80)
- [Netgate: bezpečnostní upozornění pfSense SA-24_03 (webové rozhraní)](https://docs.netgate.com/downloads/pfSense-SA-24_03.webgui.asc)