QNAP исправляет последствия двух уязвимостей в PHP - языке сценариев с открытым исходным кодом, на котором работают веб-компоненты операционных систем вендора и ряд его приложений. Объединённые общим названием PHP2Shell, они позволяют выполнить произвольный код на устройстве ещё до проверки подлинности. Сборки с исправлением для основных линеек прошивок уже вышли, часть приложений остаётся в работе. Затронуты устройства QNAP NAS (сетевое хранилище), где используются эти компоненты.
Две уязвимости PHP2Shell и исправленные прошивки QNAP
Первая уязвимость связана с повреждением памяти при обработке нехватки памяти. Специально сформированный HTTP-запрос исчерпывает память процесса PHP, после чего очистка обрабатывает данные, заполненные лишь частично. Вторая относится к классу use-after-free (обращение к уже освобождённой памяти): запрос, попавший к тому же рабочему процессу, читает область, освобождённую ранее. Обе срабатывают по сети, до проверки подлинности на уровне приложений, без участия пользователя и без учётных данных. Вендор оценивает каждую в 9.2 из 10 по четвёртой версии CVSS (общая система оценки уязвимостей).
Попытки эксплуатации против самого PHP публично зафиксированы, сообщений об атаках на устройства QNAP вендор не получал. Публикация уведомления означает доступность технических деталей, а не подтверждённую эксплуатацию в реальных атаках против продуктов QNAP. Уведомление находится в работе: перечни продуктов и версий исправлений ещё будут меняться, поэтому текущие списки не окончательные. Редакция от 24 октября 2026 года добавила исправленные сборки для QTS, QuTS hero и QuTScloud.
Сборки для QTS, QuTS hero и QuTScloud
Для QTS 6.1.0 исправление - сборка QTS 6.1.0.3656 build 20261023, для QTS 5.2.11 и более ранних - QTS 5.2.11.3661 build 20261023. Ветка QuTS hero h6.1.0 закрывается сборкой h6.1.0.3656 build 20261023, ветка h6.0.x - сборкой h6.0.2.3656 build 20261023. Для ветки h5.2.11 и более ранних выпущена сборка h5.2.11.3661 build 20261023. Для QuTScloud c5.2.9 и более ранних доступна сборка c5.2.9.3661 build 20261023. Обновление ставят через Control Panel > System > Firmware Update, кнопкой Check for Update в разделе Live Update; альтернатива - пакет с Download Center и ручная установка.
Ряд продуктов QNAP исправления пока не получил: Note Station 3 версии 3.9.14 и более ранних, QNE (ADRA) 1.0.7 и более ранних, QVR Surveillance 3.0.3 и более ранних на моделях ARM32, TVR OS 1.0.4 и более ранних. Их статус - исправление в работе, версия помечена как "будет объявлена"; искать её нужно в самом уведомлении QSA-26-18. QuMagie 2.10.1 и более ранний выпуск указан в перечне затронутых продуктов, но строки со статусом и версией исправления в таблице нет, поэтому этот пункт остаётся неясным.
Обходные меры и проверка на компрометацию
Пока исправление не установлено, вендор советует убрать устройство из интернета: отключить переадресацию портов на роутере и UPnP (автоматическое открытие портов), а в myQNAPcloud - пункт Auto Router Configuration. Там же, в разделе Publish Services, отключают myQNAPcloud Link и публикацию сервисов, если они не нужны. Удалённый доступ строят через VPN (защищённый туннель) - QVPN Service или VPN на роутере. Порты управления, по умолчанию 8080 и 443, открывают только доверенным подсетям и адресам VPN через QuFirewall либо через Control Panel > System > Security > Allow/Deny List.
Излишние приложения на PHP останавливают в App Center, а встроенный веб-сервер отключают в Control Panel > Applications > Web Server, если он не нужен. Ограничение доступа не защищает от уже заражённых устройств в локальной сети. Признаки компрометации ищут в журналах QuLog Center, а также проверкой через Security Center и Malware Remover со свежими базами. При подозрении на взлом устройство отключают от сети, меняют все пароли и обращаются в поддержку QNAP. PHP внутри контейнеров Container Station и сторонних приложений обновлениями QNAP не закрывается, за исправлением идут к поставщику образа или приложения.
Код выполняется до проверки подлинности, поэтому достаточно одного открытого в интернет веб-порта. Основные линейки прошивок получили сборки с исправлением, для остальных продуктов защита пока сводится к сетевому ограничению доступа.
Ссылки
