Zwei kritische Schwachstellen in PHP wurden gerade von ASD gemeldet (CVE-2026-109618 und CVE-2026-109619). Der interne Webserver von QTS verwendet PHP und kann nur durch ein Firmware-Update gepatcht werden.
Arbeitet QNAP an Patches für diese Probleme?
Mein NAS ist nicht aus dem Internet erreichbar, aber wenn ich versuche, den Webserver zu deaktivieren, erhalte ich eine Warnung, dass Apps betroffen sein könnten, ohne dass diese genauer aufgelistet werden. Ich denke, die Apps, die betroffen sein könnten, sind:
QVR
MusicStation
PhotoStation
VideoStation
Ich überlege, ob ich den Webserver trotzdem abschalten soll, obwohl er nicht aus dem Internet zugänglich ist.
PS: Dieses Problem betrifft vermutlich die meisten, wenn nicht sogar alle QNAP NAS-Modelle. Entschuldigung, dass ich nicht gleich erwähnt habe, dass es sich um ein TS-451+ mit QTS 5.2.11.3652 handelt.
Entschuldigung – ich habe das NAS-Modell und die QTS-Version ergänzt. Die PHP-Sicherheitslücke betrifft alle NAS-Modelle, auf denen PHP läuft. Ob ich meinem Heimnetzwerk vertrauen kann, hängt davon ab, ob ich allen darin befindlichen Geräten vertrauen kann – was zweifelhaft ist. Zum Beispiel habe ich einen „smarten“ Fernseher, der mit dem Internet verbunden ist und kompromittiert werden könnte. Ich habe meine Firewall mit den mir zur Verfügung stehenden Mitteln getestet, kann mir aber nicht sicher sein, wie effektiv sie ist, da sie nicht „Industriequalität“ hat und mir nicht die Transparenz bietet, wie es teurere Firewalls tun. Ich werde den Beitrag noch dahingehend anpassen, dass der zweite Punkt etwas deutlicher wird. Letztlich überlege ich einfach, den Webserver vorübergehend zu deaktivieren, bis es ein Patch gibt – das ist ein geringer Preis.
OK, der TS451+ wird mit vollständigen OS- und Anwendungs-Updates sowie technischem Support und Sicherheitsupdates aufgeführt. Ich bin nur etwas überrascht, dass es anscheinend keine Benachrichtigung über das Problem gibt und auch kein Hinweis auf einen Patch in Entwicklung (zumal PHP für beide Schwachstellen heute Patches veröffentlicht hat). Ich erwarte heute nicht unbedingt schon eine Lösung, aber ein kurzes „Wir wissen Bescheid und arbeiten daran“ wäre beruhigend. Zur Info: Ich habe den NAS-Webserver deaktiviert.
Wie du QVR erwähnt hast. Und kürzlich nicht nur PHP, sondern auch nodejs und Go.
Auf Anwendungsebene:
QVR Face, Human, Smart Search
Go: Kein unmittelbares Risiko, da unser Feature keine Verbindung zum externen Netzwerk aufbaut. Eine neue Version wird im nächsten Release enthalten sein.
php: Nicht betroffen.
node.js: Nicht betroffen.
QVR Pro / Surveillance / Center / Recording Vault
Go: Kein unmittelbares Risiko, da unser Feature keine Verbindung zum externen Netzwerk aufbaut. Eine neue Version wird im nächsten Release enthalten sein.
PHP: ARM64 und x86_64: Nicht betroffen. In der ARM32-Version ist die Komponente zwar enthalten, wird aber nicht genutzt. Wir werden sie entfernen.
node.js: Nicht betroffen.
Für andere Komponenten wird QNAP später offizielle Ankündigungen machen. Wir arbeiten derzeit an einem Patch.
Hinweis: Das ist nur ein schneller Zwischenstand, weil ich an QVR arbeite. Für andere Bereiche spreche ich nicht für die offiziellen QNAP-Aussagen.
@RobG Der Fix ist jetzt verfügbar — bitte aktualisiere dein TS-451+ auf QTS 5.2.11.3661 Build 20261023. Für andere Modelle und den aktuellen Stand siehe bitte den untenstehenden Sicherheitshinweis. Danke!
Danke! Ich habe gerade versucht zu aktualisieren, aber die Oberfläche sagt, dass die Firmware auf dem neuesten Stand ist, obwohl es QTS 5.2.11.3652 ist. Ist das Update nicht über die normale Update-Oberfläche in QTS verfügbar?
QNAP stellt Updates in der Regel schrittweise über den Updater bereit. Nicht alle Nutzer erhalten sie gleichzeitig. Das wurde schon mehrfach erklärt und es gibt wahrscheinlich einen Hilfe-Artikel dazu.
Du kannst dir aber jederzeit die neueste Version von der QNAP Download Center Website herunterladen und manuell installieren.