# PHP sur NAS, pare-feu et appliances : les systèmes oubliés

> Faille de sécurité PHP sur NAS, pare-feu et appliance : quels appareils peuvent utiliser PHP, comment les trouver et que faire d'ici à la mise à jour du firmware.

Source : https://phpsos.de/fr/blog/php-auf-nas-und-appliances/  
État : 25/10/2026  
Fournisseur : PHP SOS, Assistance d'urgence PHP et sécurité des serveurs. Aide immédiate par WhatsApp : https://wa.me/491736494914?text=Bonjour%20PHP%20SOS%2C%20nous%20avons%20besoin%20d%27aide%20avec%20notre%20serveur%20PHP.%20Entreprise%20%3A%20%E2%80%A6%20Site%20web%20%3A%20%E2%80%A6

**En bref :** PHP ne tourne pas seulement sur des serveurs web, mais aussi dans les interfaces web de NAS, de pare-feu et d'appareils spécialisés, ou dans des paquets de serveur web que vous avez installés sur un NAS. Seul le fabricant peut dire si un appareil est concerné par PHP2Shell ; la mise à jour arrive par le firmware. Votre tâche est de trouver ces appareils, de retirer leurs interfaces web d'Internet et de suivre les avis des fabricants.

## Pourquoi les appareils dotés d'une interface web relèvent aussi de la question PHP

Quand on parle de PHP2Shell, la plupart pensent au site de l'entreprise ou à la boutique en ligne. Or PHP se trouve aussi dans des appareils que personne ne considère comme des serveurs web. Ils se trouvent dans la salle serveurs ou au bureau, ont une interface web pour l'administration et tournent souvent des années sans attention.

Selon php.net, les failles CVE-2026-109618 et CVE-2026-109619 touchent PHP lui-même dans les modes d'exécution PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Si l'interface web d'un appareil utilise l'un de ces modes avec une version vulnérable, le risque s'y applique de la même façon. La différence : vous ne pouvez en règle générale pas mettre à jour PHP vous-même sur l'appareil.

Que de tels systèmes soient oubliés a des raisons concrètes. Souvent, c'est un prestataire qui les a mis en place et ne les suit plus depuis longtemps. Les mises à jour de firmware ne se font pas automatiquement, mais exigent un clic que personne ne fait. Et certains appareils apportent des fonctions d'accès à distance commodes qui rendent l'interface web accessible depuis Internet à l'insu du service informatique. Avec une faille PHP comme PHP2Shell, cette commodité devient un risque.

## Faille de sécurité PHP sur NAS et appliances : quels systèmes entrent en ligne de compte

Nous indiquons ici des types d'appareils, sans déclaration sur des modèles particuliers. Qu'un firmware donné soit concerné ressort exclusivement des avis du fabricant.

| Type d'appareil | Comment PHP entre en jeu | Qui met à jour |
|---|---|---|
| NAS avec paquet de serveur web | Vous exploitez vos propres sites ou applications PHP sur le NAS | Le fabricant livre le paquet PHP, vous l'installez |
| Distributions de pare-feu et de routeur | Une partie de l'interface d'administration est écrite en PHP | Le fabricant, via le firmware |
| Appareils spécialisés avec interface web | par ex. standards téléphoniques, pointage, gestion technique du bâtiment, si le fabricant utilise PHP | Le fabricant ou le revendeur spécialisé |
| Appliances virtuelles | VM préconfigurées avec leur propre interface web | Le fabricant, via l'image de mise à jour |
| Conteneurs sur le NAS | Applications PHP dans des conteneurs Docker | Vous, via une nouvelle image |

Deux exemples documentés : Synology permet d'exploiter dans Web Station des sites PHP avec des profils PHP sélectionnables, et a annoncé la fin du support de PHP 7.3, 7.4 et 8.0 sous DSM 7.3. Les avis de sécurité de Netgate sur pfSense décrivent des fichiers PHP et des messages d'erreur PHP de l'interface web. Cela montre seulement que PHP s'y trouve, non que ces produits soient concernés par PHP2Shell.

## Inventaire : comment trouver les systèmes oubliés

L'étape la plus importante est une liste. De nombreuses entreprises savent exactement quels sites web elles exploitent, mais pas quels appareils ont une interface web. À quoi ressemble un inventaire durable, l'article [Inventaire de tous les sites web et serveurs](https://phpsos.de/fr/blog/inventar-websites-server/) le décrit.

1. **Recenser le réseau :** rassembler les appareils à partir de la liste DHCP, de l'aperçu du commutateur ou du pare-feu.
2. **Marquer les interfaces web :** pour chaque appareil, noter s'il est administré via HTTP ou HTTPS.
3. **Vérifier les ouvertures :** lister dans le routeur les redirections de ports et les services d'accès à distance. Toute interface web accessible depuis Internet passe en tête de liste.
4. **Attribuer le fabricant :** noter le modèle, la version du firmware et le lien vers les avis de sécurité du fabricant.
5. **Recenser les services propres :** lister séparément les paquets de serveur web et les conteneurs installés sur les NAS.

Un premier indice peut s'obtenir avec une interrogation inoffensive des en-têtes. La commande ne fait qu'appeler la page d'accueil et ne modifie rien :

```bash
# Afficher les en-têtes serveur d'une interface web (adresse à titre d'exemple)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
```

Si une mention de PHP y figure, c'est un indice. Si elle manque, cela ne prouve rien, car de nombreux appareils suppriment volontairement de telles indications.

## Que faire quand vous ne pouvez pas appliquer le correctif vous-même

Pour les appareils, le correctif relève du fabricant. L'accessibilité relève de vous, et c'est précisément là que se trouve le plus grand levier. Pour PHP2Shell, le BSI (office fédéral allemand de la sécurité des technologies de l'information) recommande de déconnecter temporairement du réseau les serveurs web sans mise à jour ; pour les interfaces d'administration des appareils, cela vaut a fortiori.

- **Retirer d'Internet :** supprimer les redirections de ports vers les interfaces web et n'autoriser l'accès à distance que par VPN.
- **Séparer le réseau d'administration :** rendre les interfaces web accessibles uniquement depuis une plage réseau dédiée aux administrateurs. Contexte dans l'article [Protéger les espaces d'administration](https://phpsos.de/fr/blog/admin-bereiche-abschirmen/).
- **Désactiver l'inutilisé :** désactiver les paquets de serveur web ou applications du NAS dont plus personne n'a besoin.
- **Suivre les avis de firmware :** activer les notifications de mise à jour et installer rapidement les mises à jour dès que le fabricant les publie.
- **Remplacer les appareils anciens :** ne plus exploiter d'appareils sans support du fabricant avec un accès depuis Internet, et planifier leur remplacement.

> **Astuce:**
> Si vous exploitez sur un NAS vos propres sites PHP, la même chose vaut pour ces sites que pour tout serveur web : vérifier la version, mettre à jour le paquet, redémarrer le service. Les bases de la faille sont expliquées dans [Qu'est-ce que PHP2Shell ?](https://phpsos.de/fr/php2shell/was-ist-php2shell/).

## Quand un appareil était exposé sur le réseau

Si une interface web était accessible depuis Internet entre le 17 et le 21 octobre et que l'appareil est concerné, vous ne devriez pas vous contenter de le mettre à jour. Vérifiez si des comptes, des partages ou des redirections ont été modifiés, sauvegardez les journaux disponibles et changez les identifiants. Un appareil qui a eu un attaquant sur le réseau peut servir de tremplin vers d'autres systèmes.

Pour les pare-feu et les routeurs, c'est particulièrement délicat, parce qu'ils voient tout le trafic de données. En cas de doute, une réinitialisation aux paramètres d'usine avec une reconfiguration propre est plus fiable que la recherche de traces isolées ; les journaux et la configuration devraient auparavant être sauvegardés.

Pour un NAS s'ajoute la question des données. On y trouve souvent des contrats, des dossiers du personnel ou des données clients. Si un attaquant a pu accéder à l'appareil, vous devez clarifier si des données à caractère personnel peuvent être concernées ; une obligation de notification au titre du RGPD peut alors exister. Abordez cela tôt avec votre délégué à la protection des données ; ceci ne constitue pas un conseil juridique.

## Comment PHP SOS aide-t-il concrètement ?

- **Relever l'existant :** nous recensons avec vous tous les systèmes dotés d'une interface web, y compris NAS, appliances et machines virtuelles.
- **Vérifier l'accessibilité :** nous vérifions de l'extérieur quelles interfaces sont accessibles depuis Internet et proposons des protections. Un examen plus approfondi est offert par l'[audit de sécurité avec test d'intrusion](https://phpsos.de/fr/leistungen/sicherheitsaudit-penetrationstest/).
- **Suivre la situation côté fabricants :** nous associons les avis de sécurité des fabricants à vos appareils et planifions les mises à jour.
- **Lever un soupçon :** si un appareil concerné était exposé sur le réseau, nous sauvegardons les journaux et recherchons des traces.


## Questions fréquentes

**Mon NAS est-il concerné par PHP2Shell ?**  
Seul le fabricant peut le dire de façon fiable pour votre modèle et votre firmware. Consultez ses avis de sécurité et vérifiez si vous exploitez vous-même sur le NAS des sites PHP, par exemple via un paquet de serveur web. D'ici là, l'interface ne devrait pas être accessible depuis Internet.

**Puis-je mettre à jour moi-même PHP sur un NAS ou un pare-feu ?**  
En règle générale, non. PHP y fait partie du firmware ou d'un paquet du fabricant. Les mises à jour arrivent via la fonction de mise à jour de l'appareil. Des interventions manuelles dans le firmware peuvent compromettre la garantie et la stabilité.

**Suffit-il d'utiliser l'interface web uniquement dans le réseau local ?**  
Cela réduit nettement le risque, mais ne l'élimine pas. Un poste déjà compromis dans le même réseau peut toujours atteindre l'interface. Mieux vaut un réseau d'administration distinct ou un accès uniquement par VPN.

**Comment reconnaître qu'un appareil utilise PHP ?**  
Parfois, l'en-tête du serveur ou l'extension .php dans les adresses de l'interface le révèle. L'absence de tels indices ne prouve rien. La documentation du fabricant et ses avis de sécurité sont fiables.

## Sources

- [php.net : avis de sécurité](https://www.php.net/)
- [BSI : office fédéral allemand de la sécurité des technologies de l'information](https://www.bsi.bund.de/)
- [Synology : fin du support de PHP 7.3, 7.4 et 8.0](https://www.synology.com/en-global/products/status/eol-php73-php74-php80)
- [Netgate : pfSense Security Advisory SA-24_03 (interface web)](https://docs.netgate.com/downloads/pfSense-SA-24_03.webgui.asc)