{"id":22125,"date":"2026-10-25T07:58:10","date_gmt":"2026-10-24T23:58:10","guid":{"rendered":"https:\/\/synopower.club\/?post_type=docs&#038;p=22125"},"modified":"2026-10-25T08:04:28","modified_gmt":"2026-10-25T00:04:28","password":"","slug":"synology-threat-prevention-blind-spots","status":"publish","type":"docs","link":"https:\/\/synopower.club\/it\/docs\/synology-threat-prevention-blind-spots\/","title":{"rendered":"Synology Threat Prevention: Cosa rileva e cosa non vede"},"content":{"rendered":"<p class=\"wp-block-paragraph\">Threat Prevention \u00e8 il pacchetto a cui la maggior parte delle persone si rivolge nel momento in cui decide di ospitare un sito web su un NAS Synology. Risiede sul router, ha un'icona a forma di scudo e la sua dashboard conta gli attacchi a centinaia, quindi sembra proprio ci\u00f2 che mantiene al sicuro un sito pubblico. Lo eseguiamo su un RT6600ax davanti a ogni macchina in nostro possesso, ed \u00e8 valsa la pena averlo. \u00c8 anche, per un sito web in self-hosting, quasi del tutto irrilevante.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Questo articolo della guida NAS Hosting 101 apre il nostro router, legge una settimana reale di eventi e mostra esattamente dove Threat Prevention smette di essere d'aiuto, utilizzando PHP2Shell come esempio di un attacco che Threat Prevention non avrebbe mai potuto rilevare.<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>Punto SynoPower Club:<\/strong> Ho trascorso molto tempo nel supporto Synology e la domanda arrivava continuamente: quale opzione devo attivare per fermare questo attacco. \u00c8 l'istinto giusto rivolto allo strumento sbagliato. Ci\u00f2 che mi ha finalmente fatto aprire gli occhi \u00e8 stato leggere la nostra lista degli eventi anzich\u00e9 la pagina delle funzionalit\u00e0. Ogni avviso registrato dal nostro router questo mese riguardava un indirizzo con una cattiva reputazione, non una richiesta con un payload malevolo. Una volta compreso questo, smetti di chiedere a Threat Prevention di ispezionare il traffico che sta tenendo in una busta sigillata.<\/p>\n<\/blockquote>\n\n\n\n<h2 id=\"what-threat-prevention-actually-does-on-a-synology-router\" class=\"wp-block-heading\">Cosa fa effettivamente Threat Prevention su un router Synology<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Threat Prevention \u00e8 un sistema di rilevamento e prevenzione delle intrusioni basato sulla linea di sviluppo di Snort e Suricata. Legge i pacchetti mentre il router li inoltra, li confronta con un set di firme e registra un avviso o scarta il pacchetto. Sul nostro RT6600ax il feed delle firme \u00e8 ET Open, il livello gratuito del set di regole Emerging Threats, aggiornato quotidianamente alle 09:00.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tre propriet\u00e0 derivano da questa architettura, e tutte e tre contano pi\u00f9 di qualsiasi casella di controllo nell'interfaccia:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>It can only examine packets the router <strong>forwards<\/strong>. Traffic that never crosses the routing engine is not slow to inspect, it is invisible.<\/li>\n\n<li>It can only match on bytes it can <strong>read<\/strong>Non c'\u00e8 alcuna intercettazione TLS in Threat Prevention, quindi un payload crittografato rimane opaco.<\/li>\n\n<li>It can only match signatures <strong>somebody else wrote<\/strong>. The interface exposes vendor classes to switch on and off, and nothing that accepts a rule you author yourself.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Niente di tutto ci\u00f2 \u00e8 un difetto. Un IPS sul perimetro della rete \u00e8 una cosa ragionevole e utile da avere. L'errore sta nel presumere che il perimetro sia il punto in cui un sito web viene attaccato.<\/p>\n\n\n\n<h2 id=\"threat-prevention-vs-a-web-application-firewall\" class=\"wp-block-heading\">Threat Prevention vs Web Application Firewall<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Il modo pi\u00f9 chiaro per vedere la differenza \u00e8 mettere Threat Prevention accanto a un Web Application Firewall e chiedersi cosa stia analizzando ciascuno di essi quando prende una decisione. Threat Prevention analizza un pacchetto. Un WAF analizza una richiesta HTTP decifrata.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Question<\/th><th>Router IPS<\/th><th>Reverse-proxy WAF<\/th><\/tr><\/thead><tbody><tr><td>Dove corre<\/td><td>On the routing path, before TLS ends<\/td><td>At the edge, after TLS ends<\/td><\/tr><tr><td>What it inspects<\/td><td>Packet headers and any cleartext bytes<\/td><td>Method, path, headers, cookies, body<\/td><\/tr><tr><td>HTTPS traffic<\/td><td>Opaque<\/td><td>Fully readable<\/td><\/tr><tr><td>Rules you can add<\/td><td>Vendor classes on or off<\/td><td>Your own expressions, plus managed rulesets<\/td><\/tr><tr><td>Same-subnet traffic<\/td><td>Never seen<\/td><td>Not applicable, it is upstream of everything<\/td><\/tr><tr><td>Typical catch<\/td><td>Reputation hits, scans, cleartext exploits, outbound command and control<\/td><td>Injection, traversal, known CVE request shapes, credential stuffing, bots<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Non si tratta di prodotti in concorrenza tra loro. Coprono segmenti diversi dello stesso percorso e un sito in self-hosting ha un bisogno molto maggiore del secondo che del primo. Li manteniamo entrambi e ci aspettiamo cose completamente diverse da ciascuno.<\/p>\n\n\n\n<h2 id=\"reading-595-events-from-one-week-on-our-own-router\" class=\"wp-block-heading\">Lettura di 595 eventi in una settimana sul nostro router<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ecco la schermata panoramica di Threat Prevention del nostro router di produzione il 25 ottobre 2026. Cinquecentonovantacinque eventi malevoli nell'arco di sette giorni, di cui 75 ad alta gravit\u00e0. Sembra un muro che trattiene un'inondazione.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"eager\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events.webp\" alt=\"Panoramica di Synology Threat Prevention su un RT6600ax che mostra 595 eventi malevoli in sette giorni e un dispositivo con potenziali minacce\" class=\"wp-image-22119\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-1000x482.webp 1000w\"  fetchpriority=\"high\"\/><figcaption class=\"wp-element-caption\">Sette giorni sul nostro RT6600ax. Un unico dispositivo \u00e8 responsabile di ogni evento ad alta gravit\u00e0, ed \u00e8 il server di posta, non il server web.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Due dettagli in quella schermata valgono pi\u00f9 del numero principale. Il primo \u00e8 che un solo dispositivo appare tra le potenziali minacce, ed \u00e8 REVERSE_MAIL, la macchina che termina TLS ed esegue MailPlus. Il secondo \u00e8 la data della firma accanto alla spunta verde. Ora apri un singolo evento e leggi cosa \u00e8 scattato effettivamente.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature.webp\" alt=\"Dettaglio di un evento di Threat Prevention che mostra una firma IP a cattiva reputazione ET CINS con stato Avviso e un corpo di regola che trova corrispondenza solo sugli indirizzi IP\" class=\"wp-image-22120\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-1000x482.webp 1000w\" \/><figcaption class=\"wp-element-caption\">Il corpo della firma \u00e8 rivelatore. Inizia con alert ip seguito da un elenco di indirizzi, quindi nulla nella richiesta \u00e8 stato esaminato.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Classificazione Misc Attack, gravit\u00e0 Media, stato Alert, nome della firma ET CINS Active Threat Intelligence Poor Reputation IP group 24. Apri il corpo della regola e inizia con alert ip seguito da un lungo elenco di indirizzi. Questa \u00e8 una consultazione di una blocklist. Nessuna parte della richiesta HTTP \u00e8 stata letta, perch\u00e9 nessuna parte poteva esserlo. Abbiamo analizzato gli eventi rispetto a una seconda destinazione, il nostro host Virtual DSM, e abbiamo trovato la stessa classe di regola con un numero di gruppo diverso.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Quindi l'onesto riassunto di una settimana \u00e8 questo: il router ha riconosciuto alcune centinaia di connessioni da indirizzi che avevano gi\u00e0 una cattiva reputazione. Questo \u00e8 davvero utile. Ma non si tratta di rilevamento di attacchi web, e nessuno dovrebbe interpretare il numero 595 come se lo fosse.<\/p>\n\n\n\n<h2 id=\"how-to-audit-threat-prevention-in-4-steps\" class=\"wp-block-heading\">Come controllare Threat Prevention in 4 passaggi<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Prima di affidare qualsiasi cosa a Threat Prevention, dedica dieci minuti a scoprire cosa sta effettivamente facendo sulla tua rete. Ogni passaggio seguente \u00e8 in sola lettura e non modifica nulla.<\/p>\n\n\n<div id=\"rank-math-howto\" class=\"rank-math-block\" >\n<div class=\"rank-math-howto-description\">\n\n<\/div>\n\n<div class=\"rank-math-steps\">\n<div id=\"step-1\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Apri un evento e leggi il corpo della firma<\/h3>\n<div class=\"rank-math-step-content\"><p>Vai su Threat Prevention, quindi su Eventi e fai clic su una qualsiasi voce. Guarda oltre il badge di gravit\u00e0 colorato nella casella Regole firma. Una regola che inizia con alert ip corrisponde unicamente in base alla reputazione dell'indirizzo. Una regola che contiene content o pcre corrisponde in base al payload. Conta quante ne trovi di ciascun tipo nel tuo elenco prima di decidere che cosa stia proteggendo Threat Prevention.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-2\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Verifica quali interfacce sono monitorate<\/h3>\n<div class=\"rank-math-step-content\"><p>Apri Impostazioni e consulta la tabella Interfacce monitorate. Vengono ispezionate solo le interfacce spuntate l\u00ec e, in una normale distribuzione, sono quelle rivolte a Internet. Il traffico tra due dispositivi sulla stessa sottorete LAN viene commutato anzich\u00e9 instradato, quindi non raggiunge mai il motore di ispezione e nessuna impostazione in questa pagina pu\u00f2 modificare questo comportamento.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-3\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Scopri cosa succede quando il router \u00e8 occupato<\/h3>\n<div class=\"rank-math-step-content\"><p>Nello stesso pannello, osserva la modalit\u00e0 predefinita. Priorit\u00e0 alla stabilit\u00e0 della rete significa che quando il traffico supera quanto il motore pu\u00f2 elaborare, l'eccedenza viene fatta passare senza essere filtrata. Priorit\u00e0 alla sicurezza significa che l'eccedenza viene invece scartata. Una scelta \u00e8 fail-open e mantiene attiva la tua linea, l'altra \u00e8 fail-closed e la manda gi\u00f9. Decidi quale desideri effettivamente.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-4\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Try to add a rule of your own<\/h3>\n<div class=\"rank-math-step-content\"><p>Open Self-Defined Policy. You can change the action for a signature the vendor already ships, and you can scope it by source or destination address. There is no field anywhere that accepts a signature you wrote. If your threat is newer than your signature feed, this screen is where you discover you have no way to respond.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n<h2 id=\"where-it-genuinely-earns-its-place\" class=\"wp-block-heading\">Dove si guadagna davvero il suo posto<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Manteniamo Threat Prevention attivo, e non per superstizione. Ci sono quattro compiti che svolge e che nessun altro elemento del nostro stack fa.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Outbound command and control.<\/strong> This is the strongest case by far. A compromised device has to call home, that call has to leave through the router, and a good share of it is still either cleartext or aimed at a known address. Our router ships the Malware Command and Control Activity class with 3,450 of 3,498 rules enabled, and the Domain Observed Used for C2 class with 7,157 of 7,202.<\/li>\n\n<li><strong>Cleartext protocols from the internet.<\/strong> Our mail server answers on port 25, and SMTP is cleartext until STARTTLS. That is real inspectable traffic, and it is no accident that the mail host is the one device our events list keeps naming.<\/li>\n\n<li><strong>Scanning and reconnaissance.<\/strong> Port sweeps and fingerprinting are recognised by connection behaviour rather than by payload, so encryption does not hide them.<\/li>\n\n<li><strong>Visibility.<\/strong> A searchable log of who knocked and with what reputation is worth having, even when every entry is only a reputation hit. It is monitoring value, and it should be counted as monitoring value rather than as protection.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Ci\u00f2 che questi quattro compiti hanno in comune \u00e8 che nessuno di essi \u00e8 un attacco a un sito web.<\/p>\n\n\n\n<h2 id=\"why-a-site-owner-asks-threat-prevention-for-the-wrong-thing\" class=\"wp-block-heading\">Perch\u00e9 il proprietario di un sito chiede a Threat Prevention la cosa sbagliata<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Quando si ospita un sito su un NAS, il percorso della richiesta include solitamente un reverse proxy. Il nostro si presenta cos\u00ec, ed \u00e8 la sua struttura a determinare tutto:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>The visitor reaches <strong>Cloudflare<\/strong>, which answers most requests from cache and inspects the rest in cleartext.<\/li>\n\n<li>What is left crosses the <strong>router<\/strong>, dove Threat Prevention vede un flusso TLS crittografato e niente di pi\u00f9.<\/li>\n\n<li>IL <strong>reverse proxy NAS<\/strong> terminates TLS and forwards plain HTTP to the machine that runs the site.<\/li>\n\n<li>That last hop is on the <strong>same subnet<\/strong>, so the frame goes through a switch and the router is not in the path.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Leggendo queste quattro righe insieme, la trappola \u00e8 ovvia. L'unico segmento in cui la richiesta esiste in forma leggibile \u00e8 l'ultimo hop, ed \u00e8 proprio l'unico segmento che il router non pu\u00f2 osservare. In ogni punto che il router pu\u00f2 osservare, la richiesta \u00e8 crittografata. Non esiste alcuna casella di controllo in grado di risolvere una contraddizione del genere e Threat Prevention non sta sbagliando quando rimane in silenzio. Sta semplicemente riportando con precisione il traffico che \u00e8 strutturalmente impossibilitato a leggere.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Questo \u00e8 anche il motivo per cui puntare Threat Prevention su un sito specifico non funziona. Il pacchetto \u00e8 vincolato alle interfacce del router, non agli hostname. Non ha alcuna nozione di quale dei tuoi siti appartenga a una connessione, perch\u00e9 non vede mai l'intestazione Host.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces.webp\" alt=\"Impostazioni di Threat Prevention che mostrano le interfacce monitorate limitate alle porte esposte a Internet, la modalit\u00e0 di priorit\u00e0 della stabilit\u00e0 di rete e la sorgente delle firme ET Open\" class=\"wp-image-22121\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-1000x482.webp 1000w\" \/><figcaption class=\"wp-element-caption\">Monitored Interfaces costituisce l'intero raggio d'azione di Threat Prevention. Si noti la modalit\u00e0 predefinita sottostante e la sorgente delle firme in basso.<\/figcaption><\/figure>\n\n\n\n<h2 id=\"three-reasons-php2shell-was-invisible-at-the-router\" class=\"wp-block-heading\">Tre motivi per cui PHP2Shell era invisibile al router<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">PHP2Shell, la coppia di falle di esecuzione di codice remoto pre-autenticazione tracciate come CVE-2026-109618 e CVE-2026-109619, \u00e8 stata divulgata il 20 ottobre 2026 ed \u00e8 stata corretta a monte il giorno successivo. \u00c8 esattamente il tipo di problema che le persone sperano che un IPS per router sia in grado di assorbire, e vale la pena essere specifici sul perch\u00e9 non abbia potuto farlo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>In primo luogo, il traffico era crittografato su ogni segmento monitorato dal router.<\/strong> The exploit lives in the HTTP request, and the HTTP request only exists in the clear after TLS has been terminated, which happens downstream of the router on a hop the router never carries.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>In secondo luogo, non esiste alcuna firma di Threat Prevention da attivare.<\/strong> We checked again on 25 October 2026 and found no published Snort or Emerging Threats rule for either CVE. Our feed is ET Open, the free tier, which lags the commercial set, and the Self-Defined Policy screen accepts no rule of your own. So even an operator who knew precisely what to match for had nowhere to put it.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy.webp\" alt=\"La schermata Criterio definito dall&#039;utente in Threat Prevention, vuota, con solo Modifica ed Elimina disponibili e nessuna opzione per creare una nuova firma\" class=\"wp-image-22123\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-1000x482.webp 1000w\" \/><figcaption class=\"wp-element-caption\">Self-Defined Policy regola l'azione sulle firme che il fornitore gi\u00e0 distribuisce. Non esiste alcun campo che accetti una regola scritta da te.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Terzo, e ancor pi\u00f9 fondamentale, questo attacco non ha una struttura di payload da confrontare.<\/strong> The chain takes two requests. The first has to push PHP into exhausting its memory limit, which makes the engine abandon a request through a path that skips cleanup and leaves some global state behind. The second request is ordinary, and it is the one that reaches a stale pointer and turns into code execution.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La prima richiesta \u00e8 definita dalla quantit\u00e0 di memoria che consuma, non da una sequenza di byte, e un caricamento di grandi dimensioni, un corpo JSON enorme, un array profondo e una stringa lunga in un'espressione regolare ne sono tutti un esempio. La seconda non trasporta alcun byte malevolo. Un IPS decide per pacchetto e per flusso. Non ha alcun modello di processo worker che trasporta uno stato contaminato da una richiesta a quella successiva, che \u00e8 esattamente dove risiede questo bug.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Questo fissa anche i limiti della mitigazione che circolava all'epoca, che consisteva nel disattivare session.upload_progress nella configurazione di PHP. Rimuove effettivamente un modo ben documentato per raggiungere il secondo CVE e, su una macchina che non puoi davvero aggiornare, \u00e8 meglio di niente. Non \u00e8 una soluzione definitiva: l'esaurimento della memoria non \u00e8 raggiungibile solo tramite quella singola funzionalit\u00e0 e l'impostazione non ha alcun impatto su CVE-2026-109618. L'abbiamo usata come soluzione temporanea su un solo host e l'abbiamo considerata come tempo guadagnato, non come una risoluzione. Il resoconto completo di come abbiamo applicato le patch \u00e8 nel nostro <a href=\"https:\/\/synopower.club\/it\/synology-php2shell-emergency-patch\/\">PHP2Shell write-up<\/a>.<\/p>\n\n\n\n<h2 id=\"fail-open-by-design-and-the-day-it-cost-us-our-mail\" class=\"wp-block-heading\">Fail-open per progettazione, e il giorno in cui ci \u00e8 costato le nostre e-mail<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">C'\u00e8 un'altra propriet\u00e0 che vale la pena conoscere prima di considerare Threat Prevention come un controllo su cui fare affidamento. La sua modalit\u00e0 predefinita consigliata \u00e8 la modalit\u00e0 di priorit\u00e0 alla stabilit\u00e0 della rete, e l'interfaccia spiega cosa significa senza alcun eufemismo: quando il traffico supera la capacit\u00e0 di elaborazione, i pacchetti in sospeso vengono lasciati passare senza filtraggio. L'alternativa, la modalit\u00e0 di priorit\u00e0 alla sicurezza, li scarta e avverte che la connessione sar\u00e0 instabile fino alla risoluzione del problema.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si tratta di un'impostazione predefinita ragionevole per un router domestico. Significa per\u00f2 che Threat Prevention \u00e8 nel suo punto pi\u00f9 debole proprio nel momento in cui vorresti che fosse pi\u00f9 forte, perch\u00e9 un traffico anomalo di tipo flood \u00e8 sia ci\u00f2 che desideri filtrare sia ci\u00f2 che supera la capacit\u00e0 del sistema.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Abbiamo anche documentato l'altra modalit\u00e0 di guasto. Il 2 agosto 2026 qualcuno ha colpito ripetutamente il nostro reverse proxy 116 volte con un exploit per un bug PHP-CGI per Windows che non pu\u00f2 funzionare su Linux. Threat Prevention ha scartato abbastanza pacchetti da bloccare il proprio stato, per poi iniziare a rifiutare il traffico in uscita della macchina stessa che stava difendendo. La nostra coda di posta si \u00e8 bloccata e il sintomo sembrava esattamente un guasto del DNS. Il riavvio del router ha risolto il problema. Nulla \u00e8 apparso nel registro degli accessi del proxy, perch\u00e9 nulla ha mai raggiunto il proxy. Un attacco strutturalmente incapace di avere successo ci \u00e8 comunque costato un'interruzione di servizio, a causa dello strumento che avrebbe dovuto fermarlo.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list.webp\" alt=\"L&#039;elenco di Classi e Firme in Threat Prevention con i conteggi abilitati per classe, tra cui Attacco all&#039;applicazione web a 5.928 su 6.010 regole\" class=\"wp-image-22122\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-1000x482.webp 1000w\" \/><figcaption class=\"wp-element-caption\">Interruttori a livello di classe con un conteggio delle regole abilitate a destra. Questa \u00e8 l'intera superficie di ottimizzazione.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Dai un'occhiata ai conteggi di abilitazione in quell'elenco mentre sei l\u00ec. Web Application Attack mostra 5.928 su 6.010 regole attive e il rapporto \u00e8 simile nelle classi che ci interessano. Attivare una classe non attiva tutte le regole al suo interno e l'interfaccia non offre alcun modo per vedere quali tra le rimanenti ti mancano.<\/p>\n\n\n\n<h2 id=\"put-a-proxy-in-front-then-lock-the-origin-to-it\" class=\"wp-block-heading\">Metti un proxy davanti, poi blocca l'origine su di esso<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Se gestisci un sito web da un NAS, il controllo che svolge il lavoro che il router non pu\u00f2 fare \u00e8 un WAF reverse-proxy. Utilizziamo Cloudflare, e il motivo risiede nella posizione piuttosto che nel marchio: TLS termina all'edge, quindi l'intera richiesta \u00e8 leggibile nel momento in cui viene presa la decisione. Metodo, percorso, query, header, cookie e corpo sono tutti disponibili per una regola.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ecco perch\u00e9 le protezioni PHP2Shell sono arrivate l\u00ec e non sul router. Quando sono emersi i CVE, il set di regole gestito ha ottenuto sette regole per la coppia nel giro di due giorni, ed erano attive su tutte e quattro le zone che gestiamo prima ancora che avessimo finito di ricompilare i nostri container. Nessun equivalente \u00e8 mai apparso nel feed di Threat Prevention e, cinque giorni dopo, non esiste ancora alcuna regola pubblica Snort o Emerging Threats da installare.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un avvertimento che conta pi\u00f9 della scelta del provider. Un proxy posizionato davanti aiuta solo fino a quando non lo si pu\u00f2 aggirare. Se l'indirizzo di origine risponde direttamente a Internet pubblico, chiunque lo scopra salta ogni regola edge che hai scritto. Limita la porta 443 sull'origine agli intervalli di rete del proxy, ricava tali intervalli dall'endpoint del provider anzich\u00e9 digitarli a riga di codice, e verifica il blocco richiedendo il sito direttamente dal suo indirizzo. La nostra configurazione pi\u00f9 ampia, e i quattro livelli dietro a questo, sono descritti in <a href=\"https:\/\/synopower.club\/it\/docs\/synology-nas-security-public-website\/\">the five layers we run<\/a>.<\/p>\n\n\n\n<h2 id=\"threat-prevention-limits-and-security-notes\" class=\"wp-block-heading\">Limiti di Threat Prevention e note di sicurezza<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Threat Prevention richiede una memoria esterna sul router e non \u00e8 disponibile su tutti i modelli, quindi conferma il supporto per il tuo hardware prima di pianificarne l'uso. Il motore \u00e8 anche l'elemento che lavora di pi\u00f9 nel router e, su un'unit\u00e0 consumer, \u00e8 il componente che pi\u00f9 facilmente diventa il limite per il throughput. Misura le prestazioni prima e dopo anzich\u00e9 fidarti della cifra di marketing.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Considera ogni numero nella schermata panoramica come un conteggio di corrispondenze di firme, non come un conteggio di attacchi bloccati. I due differiscono in entrambe le direzioni. Un riscontro di reputazione contro uno scanner che non avrebbe mai ottenuto nulla gonfia il totale, e una settimana tranquilla non prova nulla sul traffico HTTPS che il motore non pu\u00f2 leggere.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">In Threat Prevention, lo stato conta quanto la gravit\u00e0. \"Drop high-risk packets automatically\" agisce solo sulla fascia alta, quindi le voci a gravit\u00e0 media vengono registrate e inoltrate. Un'interfaccia che mostra Alert ti sta dicendo che il pacchetto \u00e8 stato consegnato.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Il feed delle firme \u00e8 una catena di fornitura. ET Open si aggiorna a intervalli programmati, \u00e8 in ritardo rispetto al set di regole commerciale e potrebbe non rilasciare nulla per una vulnerabilit\u00e0 risalente a diversi giorni prima. Una dashboard che segnala che il database \u00e8 aggiornato indica che corrisponde al feed, non che il feed copra ci\u00f2 che viene attualmente sfruttato.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Niente di tutto ci\u00f2 sostituisce l'applicazione delle patch. Ogni livello qui discusso fa guadagnare tempo per ci\u00f2 che chiude effettivamente una vulnerabilit\u00e0, ovvero l'aggiornamento del software interessato. Per PHP2Shell ci\u00f2 ha significato nuovi pacchetti PHP e container ricreati, e nessun controllo di rete \u00e8 stato in grado di sostituirlo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Infine, resisti alla tentazione di attivare ogni classe dopo aver letto un avviso di sicurezza. Classi come Misc activity contengono migliaia di regole di poco valore che generano principalmente rumore e consumano la stessa capacit\u00e0 necessaria alle classi utili. Un elenco di eventi silenzioso e ben ottimizzato che leggi davvero \u00e8 meglio di uno rumoroso che impari a ignorare.<\/p>\n\n\n\n<h2 id=\"frequently-asked-questions\" class=\"wp-block-heading\">Domande frequenti<\/h2>\n\n\n<div id=\"rank-math-faq\" class=\"rank-math-block\">\n<div class=\"rank-math-list\">\n<div id=\"faq-1\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Threat Prevention protegge un sito web ospitato sul mio NAS?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>A malapena, e non nel modo suggerito dal nome. Un sito web viene erogato tramite HTTPS e Threat Prevention non effettua alcuna intercettazione TLS, quindi la richiesta rimane opaca ovunque il router possa vederla. In una configurazione tipica, la richiesta diventa leggibile solo dopo che un reverse proxy termina il TLS, e quel passaggio avviene di solito sulla stessa subnet, quindi viene sottoposto a switching anzich\u00e9 a routing e il router non lo gestisce mai. Utilizza un WAF reverse-proxy per il sito web e mantieni Threat Prevention per ci\u00f2 in cui eccelle.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-2\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Which option should I switch on to stop a specific CVE?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Usually none, because the answer depends on whether the vendor shipped a signature for it at all. Open Self-Defined Policy and you will find you can change the action on an existing signature but cannot add one of your own. If no rule exists in the feed, there is nothing to enable, and for a vulnerability a few days old that is the normal case.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-3\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Why does my event list only name one or two devices?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Because those are the devices receiving traffic the engine can actually read. On our network it is consistently the mail server, which answers cleartext SMTP on port 25. A web host behind a reverse proxy produces few entries not because it is attacked less, but because its traffic is encrypted at every point the router inspects.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-4\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Threat Prevention ispeziona il traffico tra i dispositivi sulla mia LAN?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>No. Two devices in the same subnet reach each other through a switch, and the router is not in that path, so the packets are never offered to the inspection engine. The Monitored Interfaces table in Settings shows the real scope, and no option there extends it to same-subnet traffic.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-5\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">\u00c8 sicuro lasciare Threat Prevention abilitato?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Yes, with one caveat worth knowing. The recommended default passes traffic through unfiltered when the engine is saturated, which keeps your line up at the cost of inspection. The opposite mode drops that traffic instead. We have also had the engine wedge under a flood of harmless exploit attempts and start refusing a server&#8217;s outbound traffic, which cost us a mail outage, so include the router in your list of suspects when a machine goes quiet.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-6\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Threat Prevention \u00e8 stato d'aiuto in qualche modo con PHP2Shell?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>No, and three separate reasons each would have been enough on their own. The traffic was encrypted everywhere the router looks, no Snort or Emerging Threats signature was published for either CVE, and the exploit has no payload shape to match because the first request is defined by the memory it consumes and the second looks completely ordinary. The fix was new PHP packages, with a reverse-proxy WAF covering the gap in the meantime.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-7\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Is disabling session.upload_progress enough on an unpatchable host?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>It helps and it is not enough. Switching it off removes one documented route to CVE-2026-109619, which is worth doing on a host you truly cannot update, but memory exhaustion is reachable by other means and the setting does nothing for CVE-2026-109618. Treat it as borrowed time and plan the package update.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-8\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">What should I buy or configure first for a NAS-hosted site?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Metti un reverse proxy con un set di regole gestite davanti al sito, quindi limita l'origine in modo che la porta 443 risponda solo a quella rete proxy. Questi due passaggi insieme spostano il punto di ispezione in un luogo in cui la richiesta \u00e8 leggibile ed eliminano il bypass che vanificherebbe il tutto. Mantieni Threat Prevention abilitato in seguito per il traffico outbound di command and control e per i servizi in testo in chiaro, ovvero dove svolge un lavoro reale.<\/p>\n\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n<h2 id=\"references-and-video-walkthroughs\" class=\"wp-block-heading\">Riferimenti e video dimostrativi<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Fonti primarie per tutto ci\u00f2 che \u00e8 stato affermato sopra, pi\u00f9 tre guide dettagliate che valgono il tempo impiegato.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/kb.synology.com\/en-global\/SRM\/help\/ThreatPrevention\/threatprevention_desc\" target=\"_blank\" rel=\"noreferrer noopener\">Centro conoscenze Synology: Threat Prevention<\/a> covers requirements, modes and model support.<\/li>\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_14\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:14<\/a> lists the fixed PHP package versions for DSM, including the 7.4 build.<\/li>\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/php2shell\/Synology%20Statement%20on%20PHP2Shell%20Vulnerabilities\" target=\"_blank\" rel=\"noreferrer noopener\">Synology Statement on PHP2Shell<\/a> names the affected packages and the one that needs a manual update.<\/li>\n\n<li><a href=\"https:\/\/developers.cloudflare.com\/waf\/managed-rules\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Cloudflare WAF managed rules<\/a> explains how managed rulesets are versioned and deployed.<\/li>\n\n<li><a href=\"https:\/\/www.cloudflare.com\/ips\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Intervalli IP di Cloudflare<\/a> is the endpoint to read when locking an origin to the proxy instead of hard-coding addresses.<\/li>\n<\/ul>\n\n\n\n<figure class=\"wp-block-embed is-type-video is-provider-youtube wp-block-embed-youtube wp-embed-aspect-16-9 wp-has-aspect-ratio\"><div class=\"wp-block-embed__wrapper\">\n<iframe loading=\"lazy\" title=\"SRM Threat Prevention \u2013 Protezione della rete in tempo reale spiegata\" width=\"1200\" height=\"675\" src=\"https:\/\/www.youtube.com\/embed\/yT_xGpxGF7k?feature=oembed\" frameborder=\"0\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" allowfullscreen><\/iframe>\n<\/div><figcaption class=\"wp-element-caption\">Spiegazione di SRM Threat Prevention, compreso dove si posiziona il pacchetto sulla rete<\/figcaption><\/figure>\n\n\n\n<figure class=\"wp-block-embed is-type-video is-provider-youtube wp-block-embed-youtube wp-embed-aspect-16-9 wp-has-aspect-ratio\"><div class=\"wp-block-embed__wrapper\">\n<iframe loading=\"lazy\" title=\"Test di velocit\u00e0 del router Synology con Threat Prevention abilitato.\" width=\"1200\" height=\"900\" src=\"https:\/\/www.youtube.com\/embed\/wuuRthcZQ_E?feature=oembed\" frameborder=\"0\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" allowfullscreen><\/iframe>\n<\/div><figcaption class=\"wp-element-caption\">Un test di throughput con Threat Prevention abilitato, ovvero il costo che nessuno menziona<\/figcaption><\/figure>\n\n\n\n<figure class=\"wp-block-embed is-type-video is-provider-youtube wp-block-embed-youtube wp-embed-aspect-16-9 wp-has-aspect-ratio\"><div class=\"wp-block-embed__wrapper\">\n<iframe loading=\"lazy\" title=\"Protecting Your Public Websites with Cloudflare WAF\" width=\"1200\" height=\"675\" src=\"https:\/\/www.youtube.com\/embed\/NbEo8p2Hvt8?feature=oembed\" frameborder=\"0\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" allowfullscreen><\/iframe>\n<\/div><figcaption class=\"wp-element-caption\">Cloudflare sulla protezione dei siti web pubblici con un WAF, il livello che legge la richiesta<\/figcaption><\/figure>","protected":false},"excerpt":{"rendered":"<p>Threat Prevention is the package most people reach for the moment they decide to host a website on a Synology NAS. It sits on the router, it has a shield icon, and its dashboard counts attacks in the hundreds, so it looks like the thing that keeps a public site safe. We run it on [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":22124,"comment_status":"open","ping_status":"closed","template":"","meta":{"_eb_attr":"","_xspeed_no_cache":false,"_xspeed_expiry_hours":0,"footnotes":""},"doc_category":[197],"doc_tag":[],"class_list":["post-22125","docs","type-docs","status-publish","has-post-thumbnail","hentry","doc_category-nas-hosting-101"],"year_month":"2026-10","word_count":3684,"total_views":"43","reactions":{"happy":"0","normal":"0","sad":"0"},"author_info":{"name":"Adair Hsu","author_nicename":"adairpk17","author_url":"https:\/\/synopower.club\/it\/author\/adairpk17\/"},"doc_category_info":[{"term_name":"NAS Hosting 101","term_url":"https:\/\/synopower.club\/it\/docs-category\/nas-hosting-101\/"}],"doc_tag_info":[],"_links":{"self":[{"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/docs\/22125","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/docs"}],"about":[{"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/types\/docs"}],"author":[{"embeddable":true,"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/comments?post=22125"}],"version-history":[{"count":2,"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/docs\/22125\/revisions"}],"predecessor-version":[{"id":22127,"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/docs\/22125\/revisions\/22127"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/media\/22124"}],"wp:attachment":[{"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/media?parent=22125"}],"wp:term":[{"taxonomy":"doc_category","embeddable":true,"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/doc_category?post=22125"},{"taxonomy":"doc_tag","embeddable":true,"href":"https:\/\/synopower.club\/it\/wp-json\/wp\/v2\/doc_tag?post=22125"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}