Een update van QNAP Community meldde op 24 oktober 2026 fixes voor PHP2Shell in QTS, QuTS hero en QuTScloud. De bijgewerkte lijst noemt zes firmwarebuilds. De eerste melding op dezelfde pagina duidde vijf builds aan als openbare bèta; de update voegde een QuTScloud-build toe en zei dat fixes voor de drie systemen beschikbaar waren.
PHP2Shell bestaat uit CVE-2026-109618 en CVE-2026-109619, beide met een score van 9,2 onder CVSS v4.0. Het PHP-project bracht op 21 oktober fixes uit in PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Die upstreamversies vervangen niet automatisch het PHP dat in QNAP-firmware zit. In ons eerdere artikel over de PHP-versies met de fixes lees je welke versies het PHP-project bijwerkte.
De zes builds in de bijgewerkte melding
De QNAP Community-update noemt deze builds voor QTS, QuTS hero en QuTScloud. De aanduiding build 20261023 hoort bij elk van de zes vermeldingen.
| Firmwarefamilie | Build |
| QTS | 6.1.0.3656 |
| QTS | 5.2.11.3661 |
| QuTS hero | h6.1.0.3656 |
| QuTS hero | h6.0.2.3656 |
| QuTS hero | h5.2.11.3661 |
| QuTScloud | c5.2.9.3661 |
De eerdere lijst op de QNAP Community-pagina noemde de vijf QTS- en QuTS hero-builds openbare bèta’s. De bijgewerkte lijst voegde QuTScloud c5.2.9.3661 toe. Dezelfde update meldde dat fixes voor sommige apps, waaronder Note Station 3 en QVR Surveillance op ARM32-modellen, nog in ontwikkeling waren.
Of jouw NAS onder het advies valt, hangt af van het model en de firmwareversie. Vergelijk die gegevens met QNAPs beveiligingsadvies QSA-26-18 voordat je een firmwarepakket kiest.
Ingebouwd PHP wordt via NAS-firmware bijgewerkt
QNAP zegt dat je het ingebouwde PHP in QTS of QuTS hero niet handmatig kunt vervangen of bijwerken. Daarvoor is een firmware-update nodig. Container Station en Virtualization Station kunnen aparte PHP-omgevingen draaien, maar die veranderen het PHP in het NAS-besturingssysteem niet.
Voor een handmatige firmware-installatie moet je het pakket voor het exacte NAS-model kiezen. Meld je daarna als beheerder aan en ga naar Control Panel > System > Firmware Update > Manual Installation. QNAP adviseert vooraf een back-up te maken, een UPS te gebruiken en de installatie niet te onderbreken. De algemene procedure staat in QNAPs instructies voor handmatige firmware-installatie.
PHP in Container Station vraagt een aparte update
NAS-firmware werkt PHP in een Container Station-container niet bij. Daarvoor moet de containerimage of de applicatie zelf worden bijgewerkt. Een nieuwe image vervangt niet automatisch de image van een container die al draait; de container moet opnieuw worden aangemaakt om de bijgewerkte image te gebruiken.
Beperk intussen de toegang vanaf internet
QNAP adviseerde port forwarding en UPnP op de router uit te schakelen, externe toegang via een VPN te laten lopen en beheerpoorten te beperken tot vertrouwde netwerken. Die maatregelen verkleinen de blootstelling, maar vervangen de firmware-update niet.
In een verklaring van 22 oktober zei QNAP dat zijn productbeveiligingsteam pogingen tegen de officiële website, online winkel en clouddiensten had geblokkeerd. QNAP meldde geen aanwijzingen te hebben gevonden dat gegevens op die eigen online diensten door de kwetsbaarheden waren ingezien of blootgesteld.
