QNAP publiceert PHP2Shell-patches voor NAS-systemen: 'Meteen installeren'

Een NAS rechtstreeks aan internet hangen met UPnP en port forwarding aan is geen externe toegang, dat is een uitnodiging met de deurmat erbij. Patch installeren dus, maar daarna ook even de netwerkconfiguratie nalopen; een gerepareerd slot helpt weinig als de achterdeur wagenwijd openstaat. Dat de patches al anderhalve week klaar zouden liggen maakt de communicatie trouwens niet bepaald sneller dan de aanvallers.

Het probleem is dat veel mensen een NAS kopen als “eigen cloud” en vervolgens vergeten dat het óók een mini-server is die onderhoud nodig heeft. QNAP kan wel waarschuwen, maar zolang installatiegemak en externe toegang als verkoopargument worden gebruikt, blijven particuliere gebruikers met beheerwerk zitten waar ze geen verstand van hebben. Misschien moeten fabrikanten standaard alles dichtzetten en pas na een duidelijke waarschuwing toegang van buitenaf toestaan.