El 24 de octubre, QNAP Community comunicó cinco builds beta públicos con actualizaciones de seguridad para PHP2Shell, repartidos entre QTS y QuTS hero. Una actualización del mismo aviso añadió QuTScloud c5.2.9.3661 build 20261023 a la lista de versiones con corrección. La publicación también identifica como beta pública los cinco builds iniciales, no como versiones estables.
Builds de QTS, QuTS hero y QuTScloud
El aviso de QNAP Community relaciona los cinco builds beta con las vulnerabilidades CVE-2026-109618 y CVE-2026-109619. Su actualización incluye además un build de QuTScloud:
| Familia | Versión y build | Estado comunicado |
| QTS | 5.2.11.3661, build 20261023 | Beta pública |
| QTS | 6.1.0.3656, build 20261023 | Beta pública |
| QuTS hero | h5.2.11.3661, build 20261023 | Beta pública |
| QuTS hero | h6.0.2.3656, build 20261023 | Beta pública |
| QuTS hero | h6.1.0.3656, build 20261023 | Beta pública |
| QuTScloud | c5.2.9.3661, build 20261023 | Incluido en la actualización del aviso |
Los avisos sobre una rama de firmware no identifican por sí solos qué paquete corresponde a cada NAS. Antes de instalarlo, QNAP indica que hay que seleccionar el firmware para el modelo exacto.
El PHP integrado se actualiza con el firmware
QNAP explica que el PHP integrado en QTS y QuTS hero no se puede actualizar por separado: la vía es instalar firmware del NAS. La FAQ de QNAP sobre el PHP integrado distingue ese runtime de los entornos independientes que pueden ejecutarse con Container Station o Virtualization Station.
Para una instalación manual, el procedimiento general de QNAP es descargar el paquete destinado al modelo exacto, iniciar sesión como administrador y abrir Panel de control > Sistema > Actualización del firmware > Instalación manual. QNAP recomienda hacer una copia de seguridad, usar un SAI y no apagar ni interrumpir el NAS durante la instalación. La guía oficial de instalación manual describe esos pasos.
El PHP de Container Station sigue su propia ruta de actualización. Instalar firmware en el NAS no actualiza el runtime de un contenedor; para usar una imagen corregida hay que actualizar la imagen o aplicación y recrear el contenedor que ya está en marcha.
Reducir la exposición mientras se gestiona el firmware
QNAP recomienda desactivar el reenvío de puertos y UPnP en el router, usar una VPN para el acceso remoto y limitar los puertos de administración a redes de confianza. Estas medidas reducen la exposición del NAS a Internet; la actualización del firmware y la de las aplicaciones siguen siendo las vías para incorporar sus correcciones.
PHP publicó el 21 de octubre las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12 para corregir los dos fallos. NeoTeo explicó esas versiones de PHP en su cobertura anterior.
