Il 24 ottobre QNAP Community ha aggiornato l’avviso PHP2Shell con la dicitura «Update: Fixes Available» per QTS, QuTS hero e QuTScloud. L’elenco riporta sei build con correzioni per CVE-2026-109618 e CVE-2026-109619; due sono contrassegnati esplicitamente come Public Beta. L’avviso aggiornato contiene l’elenco completo.
I build QNAP citati nell’avviso
| Sistema | Build indicato |
| QTS | 6.1.0.3656, build 20261023 |
| QTS | 5.2.11.3661, build 20261023 |
| QuTS hero | h6.1.0.3656, build 20261023 |
| QuTS hero | h6.0.2.3656, build 20261023 |
| QuTS hero | h5.2.11.3661, build 20261023 |
| QuTScloud | c5.2.9.3661, build 20261023 |
Nella sezione aggiornata, QTS 6.1.0.3656 e QuTS hero h6.1.0.3656 riportano l’etichetta Public Beta. La lista iniziale dello stesso avviso aveva presentato come beta pubbliche cinque build QTS e QuTS hero. Un post separato su QuTS hero h6.0.2.3656 specifica i modelli a cui si applica il relativo firmware.
Il progetto PHP aveva rilasciato il 21 ottobre le versioni 8.2.35, 8.3.36, 8.4.27 e 8.5.12 per le due vulnerabilità. Il precedente articolo sulle versioni PHP corrette spiega quali rami upstream hanno ricevuto la correzione; sui NAS QNAP il PHP integrato segue invece il ciclo del firmware.
Il PHP integrato si aggiorna tramite firmware
QNAP afferma che il PHP integrato in QTS e QuTS hero non può essere aggiornato manualmente: per aggiornare quel runtime occorre installare un firmware NAS. Container Station e Virtualization Station possono ospitare ambienti PHP separati, ma non modificano il PHP integrato. (FAQ QNAP sul PHP integrato)
Per l’aggiornamento manuale, QNAP indica di scaricare dal Download Center il firmware scegliendo il modello NAS e il sistema operativo corretti, quindi accedere come amministratore e aprire Pannello di controllo > Sistema > Aggiornamento firmware. Prima dell’installazione, QNAP raccomanda di eseguire un backup e collegare il NAS a un gruppo di continuità; durante l’aggiornamento non bisogna interrompere l’alimentazione. (Procedura firmware di QNAP)
Il PHP dentro un container di Container Station ha un percorso di aggiornamento distinto: il firmware NAS non aggiorna il runtime incluso nell’immagine del container. Per usare un’immagine aggiornata, occorre aggiornare l’immagine e ricreare il container già in esecuzione.
Ridurre l’esposizione del NAS
QNAP Community raccomanda di disattivare il port forwarding e UPnP sul router, usare una VPN per l’accesso remoto e limitare le porte di amministrazione alle reti fidate. Queste misure riducono l’esposizione, ma non correggono le vulnerabilità PHP2Shell.
