Em 24 de outubro de 2026, publicações do QNAP Community informaram cinco builds beta públicos com atualizações de segurança para PHP2Shell: dois para QTS e três para QuTS hero. Eles são versões beta, e a instalação do PHP integrado ao NAS depende de uma atualização de firmware compatível com o modelo do aparelho. O aviso do QNAP Community lista os builds.
PHP2Shell reúne as vulnerabilidades CVE-2026-109618 e CVE-2026-109619, cada uma com nota 9,2 no CVSS v4.0, segundo a QNAP. O projeto PHP publicou correções em 21 de outubro de 2026; a NeoTeo explicou quais versões do PHP corrigem as falhas.
Builds beta informados para QTS e QuTS hero
| Família de firmware | Builds beta públicos informados |
| QTS | 5.2.11.3661 build 20261023; 6.1.0.3656 build 20261023 |
| QuTS hero | h5.2.11.3661 build 20261023; h6.0.2.3656 build 20261023; h6.1.0.3656 build 20261023 |
A lista identifica builds beta públicos, não versões estáveis. Para escolher um pacote de firmware, a QNAP orienta verificar o modelo exato do NAS e obter a versão correspondente. A compatibilidade de cada build precisa corresponder ao aparelho.
Como atualizar o PHP integrado ao NAS
Não é possível substituir manualmente o PHP integrado ao QTS ou ao QuTS hero: segundo a FAQ da QNAP sobre o PHP integrado, ele é atualizado pelo firmware do NAS. O PHP executado em um ambiente separado do Container Station ou do Virtualization Station não altera esse runtime integrado.
Para instalar firmware manualmente, a QNAP orienta baixar o pacote destinado ao modelo exato e, no painel do NAS, abrir Sistema, Atualização de firmware e Instalação manual. A empresa recomenda fazer backup dos dados, usar um nobreak e não desligar nem interromper a alimentação durante a instalação. Veja o procedimento de atualização manual de firmware da QNAP.
O procedimento geral não indica que um build beta específico seja compatível com qualquer NAS. Confira o modelo indicado para o pacote antes de instalá-lo.
PHP do Container Station exige atualização própria
O firmware do NAS não atualiza o PHP dentro de um contêiner do Container Station. Esse ambiente precisa receber a atualização da imagem ou do aplicativo correspondente; depois, o contêiner em execução precisa ser recriado para usar a nova imagem. Uma atualização do QTS ou do QuTS hero, portanto, não substitui essa etapa.
Reduza a exposição da interface do NAS
Enquanto administra a atualização, a orientação atribuída à QNAP é desativar o encaminhamento de portas e o UPnP, limitar as portas de gerenciamento 8080 e 443 a redes confiáveis e usar uma VPN para acesso remoto. Essas medidas reduzem a exposição, mas não corrigem as vulnerabilidades.
Em 22 de outubro, a QNAP afirmou que bloqueou tentativas de ataque contra seu site oficial, sua loja online e seus serviços em nuvem, e que não encontrou indícios de acesso ou exposição de dados mantidos nesses serviços. A declaração trata dos serviços operados pela própria QNAP.
