QNAP aún no tiene parche para fallas críticas de PHP en sus NAS
QTS, QuTS hero y otros productos están afectados por PHP2Shell. QNAP ve intentos de explotación en internet y no fija fecha de corrección.
QNAP todavía no tiene versiones corregidas para dos fallas críticas de PHP que afectan a sus equipos NAS y a otros productos. El aviso QSA-26-18, publicado el jueves, deja el estado en "en corrección" y la fecha de cada parche "por anunciar".
Las fallas, CVE-2026-109618 y CVE-2026-109619, se conocen juntas como PHP2Shell y permiten ejecutar código de forma remota sin autenticación. QNAP les da 9.2 sobre 10 en la escala CVSS v4.0, que mide la gravedad de una vulnerabilidad, y las clasifica como críticas.
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| QTS | 6.1.0; 5.2.11 y anteriores | Por anunciar |
| QuTS hero | h6.1.0; h6.0.x; h5.2.11 y anteriores | Por anunciar |
| QuTScloud | c5.2.9 y anteriores | Por anunciar |
| QuMagie | 2.10.1 y anteriores | Por anunciar |
| Note Station 3 | 3.9.14 y anteriores | Por anunciar |
| QNE (ADRA) | 1.0.7 y anteriores | Por anunciar |
| QVR Surveillance | 3.0.3 y anteriores, solo modelos ARM32 | Por anunciar |
| TVR OS | 1.0.4 y anteriores | Por anunciar |
QNAP dice en su comunicado que observó escaneos e intentos de explotación en internet y que bloqueó ataques contra su sitio, su tienda y sus servicios en la nube, sin evidencia de acceso a datos de usuarios. En el aviso de los NAS afirma que no ha recibido reportes de explotación contra sus productos.
PHP ya corrigió el lenguaje el 21 de octubre, con las versiones PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 y PHP 8.2.35. Un intento de explotación se registró cuatro días antes de esa divulgación. Esa falla ya dejó sin servicio webs del Estado neerlandés.
Mientras no haya parche, QNAP recomienda reducir la exposición del equipo:
- Desactivar el reenvío de puertos y UPnP, y usar una VPN para el acceso remoto.
- Limitar los puertos de administración, por defecto el 8080 y el 443, a redes de confianza.
- Detener las aplicaciones afectadas que no se usen.
- Revisar el equipo con Security Center y Malware Remover.
La empresa aclara que esas medidas no corrigen las fallas y que el PHP de contenedores de Container Station o de apps de terceros queda fuera de sus actualizaciones. El mismo listado de productos figura en el boletín del CERT español. Cuando salgan las versiones corregidas, QNAP pide actualizar de inmediato desde Firmware Update.
