Le 24 octobre 2026, des publications sur QNAP Community signalent cinq versions bêta publiques contenant des mises à jour de sécurité liées à PHP2Shell : deux pour QTS et trois pour QuTS hero. Les correctifs concernent CVE-2026-109618 et CVE-2026-109619, deux vulnérabilités auxquelles QNAP attribue un score de 9,2 chacune selon CVSS v4.0.
Les cinq versions bêta signalées
Les publications de QNAP Community répartissent les builds entre les deux familles de firmware. Elles les présentent comme des versions bêta publiques.
| Famille de firmware | Version bêta signalée |
| QTS | 5.2.11.3661, build 20261023 |
| QTS | 6.1.0.3656, build 20261023 |
| QuTS hero | h5.2.11.3661, build 20261023 |
| QuTS hero | h6.0.2.3656, build 20261023 |
| QuTS hero | h6.1.0.3656, build 20261023 |
Pour situer ces avis, le projet PHP a publié ses propres versions corrigées le 21 octobre : PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Notre article détaille ces versions corrigées.
Le PHP intégré se met à jour avec le firmware
QNAP indique que le PHP intégré à QTS et QuTS hero ne peut pas être remplacé ou mis à jour séparément : il faut installer un firmware du NAS. Les environnements PHP créés avec Container Station ou Virtualization Station sont distincts de ce runtime intégré. QNAP explique la méthode de mise à jour du PHP intégré.
Pour une installation manuelle, QNAP recommande de choisir le paquet correspondant au modèle exact du NAS, puis de passer par Panneau de configuration > Système > Mise à jour du firmware > Installation manuelle. La procédure générale conseille de sauvegarder les données, d’utiliser un onduleur et de ne pas interrompre l’alimentation pendant l’installation. Ces consignes ne dispensent pas de vérifier que le paquet choisi correspond au modèle concerné. QNAP décrit la procédure d’installation manuelle du firmware.
Le firmware du NAS ne met pas à jour le PHP des conteneurs
Le PHP de Container Station suit une voie de mise à jour distincte du firmware QTS ou QuTS hero. Notebookcheck indique qu’il faut actualiser l’image ou l’application concernée, puis recréer un conteneur déjà en cours d’exécution pour qu’il utilise la nouvelle image.
Réduire l’exposition du NAS
Dans son avis de sécurité, QNAP recommande de désactiver la redirection de ports et UPnP, de privilégier un VPN pour l’accès à distance et de limiter l’accès aux ports d’administration aux réseaux de confiance. Ces réglages réduisent l’exposition au réseau public, sans corriger les vulnérabilités.
Dans sa déclaration du 22 octobre, QNAP indique que son équipe de sécurité a bloqué des tentatives visant son site officiel, sa boutique en ligne et ses services cloud. L’entreprise dit n’avoir trouvé aucun indice d’accès ou d’exposition des données hébergées sur ces services.
