Impacto de vulnerabilidades críticas de PHP en productos de QNAP

Fecha de publicación 23/10/2026

Identificador

INCIBE-2026-778

Importancia

5 - Crítica

Recursos Afectados

QTS 6.1.0; QTS 5.2.11 y anteriores.
QuTS hero h6.1.0; h6.0.x; h5.2.11 y anteriores.
QuTScloud c5.2.9 y anteriores.
QuMagie 2.10.1 y anteriores.
Note Station 3 3.9.14 y anteriores.
QNE (ADRA) 1.0.7 y anteriores.
QVR Surveillance 3.0.3 y anteriores, únicamente en modelos ARM32.
TVR OS 1.0.4 y anteriores.

Descripción

[AVISO PRELIMINAR]

QNAP ha publicado un aviso sobre dos vulnerabilidades críticas de PHP que afectan a varios de sus productos y podrían permitir a un atacante remoto no autenticado ejecutar código arbitrario. El fabricante está preparando las correcciones.

Solución

QNAP todavía no ha anunciado versiones corregidas. Consultar el boletín QSA-26-18 y aplicar las actualizaciones cuando estén disponibles.

Mientras tanto:

Retirar la exposición directa a Internet y desactivar las redirecciones de puertos y UPnP.
Utilizar una VPN y restringir la administración a redes de confianza.
Detener las aplicaciones afectadas y los servicios que no sean necesarios.
Revisar QuLog Center y ejecutar Security Center y Malware Remover actualizados.

Desactivar Web Server no protege la interfaz de administración. Estas medidas reducen la exposición, pero no corrigen las vulnerabilidades.

Detalle

CVE-2026-109618: una petición puede agotar la memoria mientras sus datos están parcialmente inicializados. Su procesamiento durante la limpieza de PHP podría permitir la ejecución remota de código.
CVE-2026-109619: una petición posterior puede utilizar referencias globales a memoria liberada por otra petición, lo que podría permitir la ejecución de código o la exposición de memoria.

CVE