Eine am 24. Oktober aktualisierte Mitteilung in QNAP Community meldet PHP2Shell-Korrekturen für QTS, QuTS hero und QuTScloud. Die aktualisierte Liste führt sechs Firmware-Builds auf; zwei davon sind ausdrücklich als öffentliche Betas gekennzeichnet.
Die erste Fassung hatte fünf öffentliche Beta-Builds genannt. In der Aktualisierung kam QuTScloud c5.2.9.3661 hinzu. Die Mitteilung führt Korrekturen für alle drei Firmwarefamilien als verfügbar auf. Die QNAP-Community-Mitteilung nennt diese Builds:
Gemeldete Firmware-Builds
| Firmwarefamilie | Build | Kennzeichnung in der aktualisierten Mitteilung |
| QTS | 6.1.0.3656, Build 20261023 | Public Beta |
| QTS | 5.2.11.3661, Build 20261023 | Als verfügbar aufgeführt |
| QuTS hero | h6.1.0.3656, Build 20261023 | Public Beta |
| QuTS hero | h6.0.2.3656, Build 20261023 | Als verfügbar aufgeführt |
| QuTS hero | h5.2.11.3661, Build 20261023 | Als verfügbar aufgeführt |
| QuTScloud | c5.2.9.3661, Build 20261023 | Als verfügbar aufgeführt |
PHP2Shell umfasst die Schwachstellen CVE-2026-109618 und CVE-2026-109619. QNAP bewertete beide am 22. Oktober mit 9,2 nach CVSS v4.0, einem Verfahren zur Einstufung des Schweregrads von Sicherheitslücken. Der PHP-Projekt veröffentlichte am 21. Oktober Korrekturen in den Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. NeoTeo berichtete über diese PHP-Korrekturen. Auf QTS und QuTS hero lässt sich das eingebaute PHP jedoch nicht unabhängig von der NAS-Firmware aktualisieren.
Das eingebaute PHP wird über die NAS-Firmware aktualisiert
QNAP zufolge können Nutzer das in QTS und QuTS hero integrierte PHP nicht manuell ersetzen. Für dieses PHP ist ein NAS-Firmwareupdate erforderlich. Die separate PHP-Umgebung in Container Station oder Virtualization Station aktualisiert das eingebaute PHP nicht. QNAP erklärt den Updateweg für integriertes PHP.
Für eine manuelle Firmwareinstallation muss das Paket zum genauen NAS-Modell passen. QNAP nennt dafür den Menüpfad Control Panel > System > Firmware Update > Manual Installation. Das Unternehmen empfiehlt, die Daten vorher zu sichern, eine USV zu verwenden und das NAS während der Installation nicht auszuschalten oder anderweitig zu unterbrechen. Die QNAP-Anleitung zur manuellen Firmwareinstallation beschreibt diese Schritte.
Container Station braucht einen eigenen PHP-Updateweg
Ein NAS-Firmwareupdate aktualisiert PHP innerhalb eines Container-Station-Containers nicht. Dafür muss das Image oder die Anwendung separat aktualisiert werden. Ein bereits laufender Container verwendet das neue Image erst, wenn er neu erstellt wurde.
Öffentlichen Zugriff einschränken
QNAP empfiehlt, Portweiterleitungen und UPnP am Router zu deaktivieren, für den Fernzugriff ein VPN zu verwenden und Verwaltungsports auf vertrauenswürdige Netzwerke zu beschränken. Diese Maßnahmen verringern die Erreichbarkeit des NAS, beheben die Schwachstellen aber nicht. Sobald das passende Firmwareupdate für das jeweilige Modell installiert werden kann, bleibt dieses der Updateweg für das eingebaute PHP.
