Vulnérabilités dans PHP (PHP2Shell) affectant plusieurs produits QNAP
- Date de sortie : 22 octobre 2026
- Identificateur CVE: CVE-2026-109618, CVE-2026-109619
- Produits concernés: QTS 6.1.0, QTS 5.2.11 et versions antérieures, Héros QuTS h6.1.0, Héros QuTS h6.0.x, Héros QuTS h5.2.11 et antérieurs, QuTScloud c5.2.9 et antérieurs, QuMagie 2.10.1 et antérieurs, Station de notes 3 3.9.14 et antérieures, QNE (ADRA) 1.0.7 et antérieures, QVR Surveillance 3.0.3 et antérieur (modèles ARM32), TVR OS 1.0.
Produits concernés
Les versions suivantes du produit sont concernées. Les versions fixes seront répertoriées ici une fois publiées.
| Produit affecté | Statut | Version fixe |
| QTS 6.1.0 | Fixation | À annoncer |
| QTS 5.2.11 et antérieures | Fixation | À annoncer |
| QuTS héros h6.1.0 | Fixation | À annoncer |
| QuTS héros h6.0.x | Fixation | À annoncer |
| QuTS héros h5.2.11 et antérieurs | Fixation | À annoncer |
| QuTScloud c5.2.9 et antérieures | Fixation | À annoncer |
| Note Station 3 3.9.14 and earlier | Fixing | To be announced |
| QNE (ADRA) 1.0.7 et antérieures | Fixation | À annoncer |
| QVR Surveillance 3.0.3 et antérieures (modèles ARM32) | Fixation | À annoncer |
| TVR OS 1.0.4 et antérieures | Fixation | À annoncer |
Produits de fin de vie
Les applications suivantes contiennent des composants PHP affectés et ne reçoivent plus de mises à jour de sécurité. Aucun correctif ne sera fourni.
| Application | Versions concernées | Statut de support | Action recommandée |
| Télécharger Station | 5.12.0 et antérieures | Fin de vie depuis le 30 septembre 2026 | Sauvegardez vos tâches de téléchargement et vos paramètres, puis désinstallez. |
| Extensions PHP | Toutes les versions | Fin de vie depuis le 30 septembre 2026 | Désinstaller. |
Version partielle de l'annonce officielle, Traduit automatiquement de l'anglais , version complète (en anglais ) : https://www.qnap.com/en/security-advisory/qsa-26-18