[Actualización 26/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de QNAP

Fecha de publicación 23/10/2026

Identificador

INCIBE-2026-778

Importancia

5 - Crítica

Recursos Afectados

QTS 6.1.0; QTS 5.2.11 y anteriores.
QuTS hero h6.1.0; h6.0.x; h5.2.11 y anteriores.
QuTScloud c5.2.9 y anteriores.
QuMagie 2.10.1 y anteriores.
Note Station 3 3.9.14 y anteriores.
QNE (ADRA) 1.0.7 y anteriores.
QVR Surveillance 3.0.3 y anteriores, únicamente en modelos ARM32.
TVR OS 1.0.4 y anteriores.

[Actualización 26/10/2026]

Para QTS, QuTS hero y QuTScloud, la afectación comprende las compilaciones anteriores a las versiones corregidas indicadas en Solución. Los números de rama del listado original deben interpretarse junto con esas compilaciones.

Descripción

QNAP ha publicado un aviso sobre dos vulnerabilidades críticas de PHP que afectan a varios de sus productos y podrían permitir a un atacante remoto no autenticado ejecutar código arbitrario.

[Actualización 26/10/2026]

QNAP ha publicado correcciones para QTS, QuTS hero y QuTScloud. Continúa preparando actualizaciones para otros productos afectados.

Solución

[Actualización 26/10/2026]

Actualizar a la versión correspondiente a la rama instalada o a una posterior:

QTS 6.1.0.3656 build 20261023.
QTS 5.2.11.3661 build 20261023.
QuTS hero h6.1.0.3656 build 20261023.
QuTS hero h6.0.2.3656 build 20261023.
QuTS hero h5.2.11.3661 build 20261023.
QuTScloud c5.2.9.3661 build 20261023.

Las correcciones de Note Station 3, QNE (ADRA), QVR Surveillance para ARM32 y TVR OS siguen pendientes. QuMagie continúa entre los productos afectados, sin versión corregida especificada.

Consultar el boletín QSA-26-18 y mantener las mitigaciones hasta aplicar las correcciones.

Las actualizaciones de QNAP no cubren el PHP de contenedores de Container Station ni de aplicaciones de terceros; solicitar sus correcciones al proveedor correspondiente.

Mientras tanto:

Retirar la exposición directa a Internet y desactivar las redirecciones de puertos y UPnP.
Utilizar una VPN y restringir la administración a redes de confianza.
Detener las aplicaciones afectadas y los servicios que no sean necesarios.
Revisar QuLog Center y ejecutar Security Center y Malware Remover actualizados.

Desactivar Web Server no protege la interfaz de administración. Estas medidas reducen la exposición, pero no corrigen las vulnerabilidades.

Detalle

CVE-2026-109618: una petición puede agotar la memoria mientras sus datos están parcialmente inicializados. Su procesamiento durante la limpieza de PHP podría permitir la ejecución remota de código.
CVE-2026-109619: una petición posterior puede utilizar referencias globales a memoria liberada por otra petición, lo que podría permitir la ejecución de código o la exposición de memoria.

CVE