24 października 2026 r. wpisy na forum QNAP Community wymieniły pięć publicznych buildów beta QTS i QuTS hero z aktualizacjami bezpieczeństwa dotyczącymi PHP2Shell. Dla właścicieli NAS-ów ważne jest też to, że wbudowane PHP można zaktualizować wyłącznie przez firmware urządzenia.
PHP opublikowało poprawki dla CVE-2026-109618 i CVE-2026-109619 21 października, w wersjach 8.2.35, 8.3.36, 8.4.27 i 8.5.12. Więcej o wydaniach PHP pisaliśmy w artykule o poprawkach dla obu luk. QNAP ocenił obie podatności na 9,2 w skali CVSS v4.0.
W oświadczeniu z 22 października QNAP poinformował, że jego zespół bezpieczeństwa zablokował próby ataków na oficjalną stronę firmy, sklep internetowy i usługi chmurowe. QNAP podał też, że nie znalazł dowodów dostępu do danych przechowywanych w tych usługach ani ich ujawnienia.
Pięć buildów beta zgłoszonych 24 października
Wpisy QNAP Community wymieniły poniższe kompilacje jako publiczne wersje beta z aktualizacjami PHP2Shell.
| Rodzina firmware’u | Zgłoszony build | Etap wydania |
| QTS | 5.2.11.3661, build 20261023 | Publiczna beta |
| QTS | 6.1.0.3656, build 20261023 | Publiczna beta |
| QuTS hero | h5.2.11.3661, build 20261023 | Publiczna beta |
| QuTS hero | h6.0.2.3656, build 20261023 | Publiczna beta |
| QuTS hero | h6.1.0.3656, build 20261023 | Publiczna beta |
Osobny wpis o becie QuTS hero h6.0.2.3656 wymienia modele zgodne z tym wydaniem. Zakres dla konkretnego NAS-a opisuje też komunikat bezpieczeństwa QNAP QSA-26-18.
Wbudowane PHP aktualizuje się przez firmware NAS-a
QNAP podaje, że właściciele nie mogą ręcznie zaktualizować PHP wbudowanego w QTS lub QuTS hero. Aktualizacja tego środowiska wymaga aktualizacji firmware’u NAS-a. Osobne środowisko PHP w Container Station lub Virtualization Station nie zmienia wersji wbudowanej w system.
Przy ręcznej instalacji firmware’u wybierz pakiet przeznaczony do dokładnego modelu NAS-a. QNAP wskazuje tę ścieżkę w panelu administracyjnym: Control Panel > System > Firmware Update > Manual Installation. Firma zaleca wcześniej wykonać kopię zapasową, użyć zasilacza awaryjnego UPS i nie przerywać instalacji ani zasilania. Szczegóły publikuje instrukcja ręcznej aktualizacji firmware’u QNAP.
PHP w Container Station wymaga osobnej aktualizacji
Firmware NAS-a nie aktualizuje PHP działającego wewnątrz kontenerów Container Station. Trzeba zaktualizować obraz kontenera lub aplikację, a działający kontener odtworzyć, by korzystał z nowego obrazu. To odrębna ścieżka od aktualizacji PHP wbudowanego w QTS lub QuTS hero.
Ogranicz dostęp NAS-a z internetu
QNAP zaleca wyłączenie przekierowania portów i UPnP, korzystanie z VPN przy zdalnym dostępie oraz ograniczenie portów administracyjnych do zaufanej sieci. Firma zaznaczyła, że te działania zmniejszają ekspozycję NAS-a, ale nie usuwają podatności PHP2Shell.
