Un récent avis de sécurité de Synology rappelle que les anciens logiciels ne restent pas tranquillement en arrière-plan. Ils restent exposés aux attaques. Si votre entreprise utilise un NAS Synology ou exploite un site web ou une application sous PHP 8.1, cet avis mérite d’être consulté dès aujourd’hui.
Ce qui s’est passé
PHP est un langage de programmation qui alimente une grande partie des sites web, des applications web et des outils internes des entreprises. Comme tout logiciel, chaque version de PHP bénéficie d’une prise en charge pendant une durée limitée. Lorsqu’une version atteint sa fin de vie (EOL, End of Life), le projet PHP cesse de publier des correctifs de sécurité pour celle-ci.
PHP 8.1 a désormais atteint ce stade. En octobre 2026, une mise à jour d’urgence de PHP a corrigé deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619, qui obtiennent un score CVSS v4.0 de 9,2 sur 10 (Synology leur attribue un score de 9,8 selon CVSS v3.1).
PHP 8.1 a atteint sa fin de vie le 31 décembre 2025 et ne reçoit plus de mises à jour de sécurité régulières de la part du projet PHP. Bien que l’équipe de sécurité PHP ait publié des rétroportages minimaux au niveau du code source pour PHP2Shell, il ne s’agit pas de nouvelles versions officielles de PHP 8.1 ni de mises à jour automatiques.
L’équipe de réponse aux incidents de sécurité des produits (PSIRT) de Synology a publié une mise à jour de sécurité spécifique à ses produits pour son package PHP 8.1 sur DSM. Synology a traité le problème dans son avis de sécurité critique SA-26:14, connu sous le nom de « PHP2Shell ». Cet avis répertorie Synology Calendar, Mail Station et les packages PHP 7.3 à 8.4 parmi les éléments concernés. Des versions corrigées sont disponibles pour tous ces éléments, à l’exception de PHP 7.3, qui a atteint sa fin de vie et pour lequel aucun correctif n’existe.
Bien que Synology indique que l’avis est résolu, un correctif ne protège un appareil qu’une fois qu’il est installé. Les systèmes exécutant des versions vulnérables et non corrigées des packages PHP concernés peuvent être exposés à des risques d’exécution de code à distance. Les utilisateurs doivent installer la version corrigée du package concerné. Pour garantir la sécurité à long terme, il reste recommandé de passer à une branche PHP actuellement prise en charge.
Que signifie « exécution de code à distance » ?
Ces deux vulnérabilités peuvent permettre une exécution de code à distance (RCE, Remote Code Execution). En termes simples, un attaquant peut être en mesure d’exécuter ses propres commandes sur un système via le réseau, sans avoir besoin d’y accéder physiquement.
C’est pourquoi les failles RCE figurent parmi les plus graves. Lorsqu’un attaquant peut exécuter des commandes sur un appareil, il peut souvent lire ou copier des fichiers, installer des logiciels malveillants, chiffrer des données pour exiger une rançon ou utiliser l’appareil comme point de départ pour accéder à d’autres systèmes du même réseau.
Pourquoi un NAS constitue une cible intéressante
Un NAS (Network-Attached Storage, ou stockage en réseau) est souvent l’endroit où une entreprise conserve ses dossiers partagés, ses fichiers de projet, ses documents comptables et ses sauvegardes. Il est généralement allumé en permanence, connecté au réseau et parfois accessible depuis Internet pour permettre un accès à distance.
Cette combinaison en fait une cible intéressante pour les attaquants. Si un NAS exécute également des packages qui dépendent d’une version de PHP pour laquelle aucun correctif n’est disponible, comme PHP 7.3, il présente une vulnérabilité connue qui ne sera pas corrigée. Le risque ne se limite pas à l’appareil lui-même. Un NAS compromis peut mettre en danger les sauvegardes, les fichiers et le reste du réseau de l’entreprise.
Qui est exposé aux risques ?
-
- Les entreprises qui utilisent encore PHP 7.3 sur un NAS ou un serveur web, alors que cette version a atteint sa fin de vie et qu’aucun correctif n’est disponible.
- Les entreprises qui exploitent des sites web ou des applications sous PHP 8.1.
- Les entreprises qui utilisent des appareils NAS Synology avec des packages dépendants de PHP ou des applications concernés, qui n’ont pas été mis à jour vers les versions corrigées appropriées.
- Les organisations qui hébergent des sites web ou des applications sur des versions vulnérables de PHP, y compris des branches non prises en charge qui ne reçoivent plus de correctifs de sécurité de la part du projet PHP.
- Les entreprises qui utilisent des applications ou des extensions anciennes ne pouvant pas être mises à niveau vers une version prise en charge et corrigée.
- Les organisations qui exposent des services web ou des applications concernés à des réseaux non fiables, en particulier à l’Internet public.
- Le niveau de risque réel dépend de la version du logiciel installée, de la configuration des packages, de l’exposition au réseau et de l’application ou non des mises à jour de sécurité pertinentes.
- Les équipes qui dépendent de systèmes anciens et qui n’ont pas vérifié leurs versions logicielles depuis un certain temps.
- Les organisations qui maintiennent leurs appareils accessibles depuis Internet pour permettre un accès à distance.
Ce que les entreprises doivent faire dès maintenant
-
- Consultez l’avis officiel SA-26:14 de Synology afin d’identifier les packages concernés et leurs versions corrigées.
- Mettez à jour les packages PHP concernés via le Centre de paquets et vérifiez que les applications qui en dépendent sont également corrigées.
- Effectuez manuellement la mise à jour de Mail Station si nécessaire.
- Pour les anciennes versions de DSM, suivez les dernières recommandations de Synology concernant les mises à jour de sécurité disponibles. Si une mise à jour immédiate n’est pas disponible, désactivez temporairement les packages concernés afin de réduire l’exposition aux risques.
- Ne partez pas du principe que la mise à jour de DSM à elle seule résout tous les problèmes liés aux packages PHP concernés.
-
- Identifiez les packages et les applications qui dépendent de versions obsolètes de PHP.
- Notez que PHP 7.3 ne dispose d’aucun correctif. Tout élément qui en dépend doit donc être remplacé ou migré.
- Vérifiez si des packages corrigés sont disponibles.
- Si une application ne peut pas fonctionner avec une branche PHP prise en charge, évaluez les mises à jour de sécurité proposées par le fournisseur, planifiez une migration ou désactivez l’application concernée si une protection adéquate n’est pas disponible.
-
- Maintenez à jour le système d’exploitation du NAS, les packages installés et les outils de sécurité pris en charge.
- Utilisez des identifiants administrateur robustes, l’authentification multifacteur lorsqu’elle est prise en charge et des contrôles d’accès appropriés.
- Considérez les antivirus et les autres solutions de protection des terminaux comme des mesures de sécurité supplémentaires, et non comme des substituts à l’application des correctifs de sécurité.
-
- Vérifiez si le NAS ou les applications concernées sont accessibles depuis l’Internet public.
- Désactivez les accès externes inutiles, fermez les ports inutilisés et limitez l’accès administratif aux réseaux de confiance ou aux connexions VPN.
- Si un package concerné ne peut pas être corrigé immédiatement, désactivez-le temporairement ou isolez le système jusqu’à ce qu’un correctif approprié soit disponible.
-
- Établissez un inventaire des serveurs, sites web, applications, conteneurs, environnements de test et systèmes moins fréquemment surveillés qui exécutent PHP.
- Consignez les versions de PHP, les dépendances des packages, les responsables des systèmes et leur exposition aux réseaux externes.
- Donnez la priorité aux systèmes qui ont été négligés ou qui ne font plus l’objet d’une maintenance active.
-
- Installez les mises à jour de sécurité appropriées pour chaque environnement PHP concerné.
- Notez que le projet PHP ne fournit plus de mises à jour de sécurité régulières pour les branches ayant atteint leur fin de vie (EOL), notamment PHP 8.1 et les versions antérieures.
- Vérifiez si les fournisseurs proposent leurs propres versions corrigées, comme Synology l’a fait pour ses packages PHP.
- Planifiez la migration vers une branche PHP actuellement prise en charge pour garantir la sécurité à long terme, et testez la compatibilité avant de mettre à niveau les applications en production.
-
- Activez un pare-feu applicatif web (Web Application Firewall, WAF) pour les sites web et les applications web basés sur PHP, et maintenez ses règles à jour.
- Appliquez des limites appropriées à la taille et à la fréquence des requêtes au niveau du serveur web ou du proxy.
- Vérifiez les limites de mémoire de PHP et testez les modifications de configuration avant leur déploiement afin d’éviter toute perturbation des opérations normales.
- Considérez ces mesures comme une protection supplémentaire, et non comme un remplacement des correctifs de sécurité.
-
- Surveillez les requêtes inhabituelles et les comportements anormaux du système, notamment :
- Des requêtes anormalement volumineuses ou des taux de requêtes excessifs.
- Des erreurs répétées de mémoire insuffisante (out of memory) ou des arrêts inattendus des processus PHP.
- L’apparition de fichiers inconnus sur les serveurs.
- Des modifications suspectes des comptes utilisateurs ou des autorisations.
- Si une compromission est suspectée, isolez le système concerné lorsque cela est approprié, préservez les journaux et les autres éléments de preuve, puis menez une enquête avant de rétablir le fonctionnement normal.
- Surveillez les requêtes inhabituelles et les comportements anormaux du système, notamment :
-
- Conservez les sauvegardes séparément des systèmes qu’elles protègent.
- Limitez l’accès aux référentiels de sauvegarde et protégez les identifiants permettant d’y accéder.
- Testez régulièrement les procédures de restauration afin de vérifier que les données peuvent être récupérées.
- Ne vous fiez pas uniquement aux sauvegardes stockées sur le même NAS, car elles peuvent également être affectées si l’appareil ou les identifiants de l’administrateur sont compromis.
Comment vérifier si vous êtes concerné
Commencez par réaliser un inventaire simple. Identifiez les personnes responsables de votre NAS, de votre site web et de tous les outils internes développés en PHP. Vérifiez ensuite les points suivants :
-
- Quelle version de DSM est installée sur chaque appareil Synology ?
- Quels packages sont installés et quelle version de PHP utilisent-ils ?
- Quelle version de PHP est utilisée par votre site web, vos applications web et vos extensions ?
- Certains de ces systèmes sont-ils accessibles depuis l’extérieur du réseau de votre entreprise ?
Si personne n’est en mesure de répondre rapidement à ces questions, c’est déjà un constat important. Les systèmes dont personne n’est responsable sont souvent ceux qui ne sont jamais mis à jour.
La leçon à retenir : les logiciels non pris en charge sont une porte ouverte aux attaques
Ce problème ne concerne pas uniquement Synology. Tout logiciel qui ne reçoit plus de mises à jour de sécurité devient progressivement un risque de plus en plus important. Les attaquants le savent et recherchent délibérément les systèmes qui ne sont plus pris en charge, car leurs vulnérabilités sont connues du public et aucun correctif officiel ne sera publié pour les éliminer.
De nombreuses entreprises continuent d’utiliser des systèmes anciens parce qu’« ils fonctionnent toujours ». Pourtant, un système qui fonctionne n’est pas nécessairement un système sécurisé. Quelques bonnes pratiques peuvent faire une réelle différence :
-
- Tenez à jour une liste des logiciels et des appareils que vous utilisez, en indiquant leur version et leur date de fin de vie.
- Planifiez les mises à niveau avant la date limite, et non après l’apparition d’un avertissement.
- Vérifiez qui peut accéder à vos systèmes depuis Internet et fermez les accès qui ne sont pas nécessaires.
- Intégrez les mises à jour dans une routine régulière au lieu de les effectuer uniquement lorsqu’un problème est signalé.
- Conservez des sauvegardes fiables et testées, stockées séparément des systèmes qu’elles protègent.
Aucune de ces mesures n’est compliquée, mais leur mise en œuvre conjointe rend une entreprise beaucoup plus difficile à attaquer. C’est également l’idée au cœur du message du Mois de la sensibilisation à la cybersécurité de cette année : ne leur facilitez pas la tâche.
La technologie et les personnes comptent toutes les deux
L’application des correctifs ferme la porte aux vulnérabilités techniques, mais les attaquants ne se limitent pas à exploiter les failles logicielles. Ils ciblent également les personnes au moyen d’e-mails de phishing et d’escroqueries. Une stratégie efficace combine ces deux aspects : maintenir les systèmes à jour et pris en charge, tout en veillant à ce que les employés sachent reconnaître les signes d’alerte.
Des outils tels que la détection et la réponse sur les terminaux (Endpoint Detection and Response, EDR) peuvent également contribuer à repérer les activités suspectes sur les appareils si certaines menaces parviennent à contourner les autres mesures de protection.
Comment ITM peut vous aider
ITM accompagne les entreprises dans l’évaluation de leur infrastructure informatique et leur fournit un support informatique continu. Nous pouvons vous aider à :
-
- Vérifier quels systèmes et appareils sont concernés.
- Planifier et effectuer les mises à jour et les mises à niveau en limitant les perturbations.
- Examiner l’ensemble de votre environnement informatique afin d’identifier d’autres logiciels qui ne sont plus pris en charge.
- Renforcer votre protection grâce à la sécurité des terminaux et à la formation des employés à la sensibilisation à la cybersécurité.
Vous ne savez pas si votre NAS ou votre site web est concerné ? Contactez nos experts IT : nous vous aiderons à le vérifier.
