【安全通告】关于多款 QNAP 产品受 PHP 漏洞（PHP2Shell）影响的安全公告

近期，开源脚本语言 PHP 官方公布了多项高危漏洞（统称为 "PHP2Shell"）。这些漏洞影响了 QNAP 操作系统及部分内置 Web 组件和应用程序。

若攻击者利用这些漏洞，可能在未授权的情况下通过网络在受影响的设备上执行任意代码。

• CVE-2026-109618 ：内存耗尽 (OOM) 处理期间的内存损坏。
• CVE-2026-109619：请求之间保留的过时全局状态导致的“释放后重用”（Use-after-free）。

注：上述漏洞均可在应用级身份验证生效之前被触发。尽管目前暂未收到针对 QNAP 产品的实际攻击报告，但公开渠道已出现针对 PHP 漏洞的利用尝试。

📦 受影响的产品范围

以下产品及版本受到本次漏洞影响：

• QTS：QTS 6.1.0、QTS 5.2.11 及更早版本
• QuTS hero：QuTS hero h6.1.0、QuTS hero h6.0.x、QuTS hero h5.2.11 及更早版本
• QuTScloud：QuTScloud c5.2.9 及更早版本
• Note Station 3：3.9.14 及更早版本
• QNE (ADRA)：1.0.7 及更早版本
• QVR Surveillance：3.0.3 及更早版本 (仅限 ARM32 型号)
• TVR OS：1.0.4 及更早版本

🚨 修复计划与临时安全加固建议

QNAP 高度重视用户的数字资产安全，相关修复策略与临时防护建议如下：

🛠️ 官方修复发布节奏

1. 紧急修复固件：已上线发布，帮助有紧急防护需要的用户快速加固；
2. 正式版固件：将于本月底（10月底）全面推送发布，彻底修复该问题。

🛡️ 当前建议的临时加固措施

在获得最新固件更新前，最有效的防护方式是将设备断开外网直接连接，并建议执行以下加固步骤：

1. 停止将设备直接暴露于互联网
• 关闭路由器上的 NAS 端口转发（Port Forwarding）及 UPnP 功能。
• 进入myQNAPcloud > 自动路由器配置 (Auto Router Configuration)，禁用 UPnP 端口转发。
• 若非必要，请禁用 myQNAPcloud Link，并在 myQNAPcloud > 发布服务 (Publish Services) 中取消服务发布。
2. 通过 VPN 进行远程安全访问
• 建议通过 QVPN Service 或路由器内置的 VPN 接入，避免直接暴露 Web 管理端口。
3. 限制受信任网络的访问权限
• 开启 QuFirewall（或前往 控制台 > 系统 > 安全性 > 允许/拒绝列表），仅允许信任的本地子网或 VPN 地址访问管理端口（默认 8080 / 443）。
4. 停用非必要的基于 PHP 的服务
• 在 App Center 中暂停不常用的受影响应用。
• 若不使用内置 Web 服务器，请前往 控制台 > 应用程序 > Web 服务器 进行关闭。
5. 定期安全排查
• 查阅 QuLog Center（日志中心） 排查异常登录；运行 Security Center 与 Malware Remover（保持最新病毒库）。

🔄 固件升级指引

请保持关注系统提示或官方通告，固件发布后请按以下步骤升级：

• 更新 QTS / QuTS hero / QuTScloud：登录系统 > 前往 控制台 > 系统 > 固件更新 > 点击 检查更新，或前往 QNAP 下载中心下载安装包进行手动更新。
• 更新 App 应用（如 Note Station 3 等）：打开 App Center 搜索对应应用，点击 更新 即可。

感谢您一直以来对 QNAP 威联通的支持与理解。我们将持续守护您的数据安全！