ASDによって、PHPの2つの重大な脆弱性（CVE-2026-109618 および CVE-2026-109619）が通知されたばかりです。QTSの内部WebサーバーはPHPを使用しており、ファームウェアをアップデートしない限りパッチを当てることができません。
QNAPはこれらの問題に対するパッチを準備していますか？
私のNASはインターネットには公開されていませんが、Webサーバーを無効にしようとすると、どのアプリが影響を受けるかのリストなしに警告が表示されます。影響を受ける可能性があるアプリはおそらく次の通りです；
Webサーバーはインターネットからはアクセスできないものの、停止するかどうか迷っています。
PS この問題は、ほとんど、あるいはすべてのQNAP NASモデルに当てはまると思いますが、使用機種はTS-451+で、QTS 5.2.11.3652を使用していることを記載していなかった点、申し訳ありません。
あなたの家庭内ネットワークに、（公開されていない）NASモデルを攻撃するような悪意のある人物がいる可能性はありますか？
申し訳ありません——NASモデルとQTSのバージョンを追記しました。PHPの脆弱性は、PHPを実行しているすべてのNASモデルに影響します。自宅ネットワークを信頼できるかどうかは、ネットワーク内のすべての機器を信頼できるかどうかにかかっていますが、それには疑問があります。例えば、インターネットに接続されている「スマート」テレビがあり、これが侵害される可能性もあります。利用できる手段でファイアウォールはテストしましたが、「業務用グレード」ではなく、高価なファイアウォールのような可視性も得られないため、どれだけ効果があるか確信は持てません。2つ目のポイントが何についてなのか、もう少し明確になるよう投稿を編集します。パッチがリリースされるまでWebサーバーを停止することも検討中ですし、それは代償としては小さいと思います。
フルソフトウェアサポート中の機種については、QNAPがおそらく近いうちにPHPのアップデートをリリースするでしょう。
OK、TS451+ には OS やアプリケーションの完全なアップデート、さらに技術サポートやセキュリティアップデートも提供されると記載されています。ただ、問題が認識されていてパッチ開発中であることを知らせる通知が特に見当たらないのには少し驚きました（ちなみに、PHP では本日両方の脆弱性に対するパッチが公開されています）。今日はすぐに解決策が出るとは期待していませんが、「問題を認識しており、対応中です」といった一言があるだけでも安心できるんですが。参考までに、NAS のウェブサーバーはオフにしました。
ご指摘の通り、QVRについてです。また、最近はPHPだけでなくnodejsやgoも対象となっています。
アプリケーションレベルでは：
QVR Face、Human、Smart Search
Go：私たちの機能は外部ネットワークに接続しないため、直ちにリスクはありません。新バージョンは次回のリリースに含める予定です。
php：影響なし。
node.js：影響なし。
QVR Pro／Surveillance／Center／Recording Vault
Go：私たちの機能は外部ネットワークに接続しないため、直ちにリスクはありません。新バージョンは次回のリリースに含める予定です。
PHP：ARM64およびx86_64：影響なし。ARM32バージョンではコンポーネントが含まれていますが未使用です。これは削除予定です。
node.js：影響なし。
その他のコンポーネントについては、QNAPが正式にアナウンスします。また、現在パッチ作成を進めています。
注意：これはQVR担当としての簡単な共有です。他の部分についてはQNAPの公式見解を示すものではありません。
それは素晴らしいです！返信してくれて本当にありがとうございます！とても感謝しています！
返信ありがとう！
これらのPHPの脆弱性に関する最新情報は、以下のセキュリティ通知をご参照ください。ありがとうございます！
[セキュリティ通知] QNAPによる重要なPHP脆弱性（PHP2Shell）に関する声明とセキュリティアドバイザリ QSA-26-18
@RobG 修正版が公開されました。TS-451+をご利用の場合は、QTS 5.2.11.3661 build 20261023にアップデートしてください。他のモデルや最新状況については、下記のセキュリティ通知をご参照ください。ありがとうございます！
［［セキュリティ通知］QNAPによる重大なPHP脆弱性（PHP2Shell）についての声明 & セキュリティアドバイザリ QSA-26-18］([Security Notice] QNAP Statement on Critical PHP Vulnerabilities (PHP2Shell) & Security Advisory QSA-26-18)
ありがとう！さっそくアップデートを試してみましたが、インターフェース上ではファームウェアが最新と表示されます（QTS 5.2.11.3652です）。QTSの通常のアップデート画面からはこのアップデートは利用できないのでしょうか？
QNAPは通常、アップデートを順次アップデーター経由で配信します。すべてのユーザーが同時に受け取るわけではありません。この件について彼らは何度か説明しており、おそらくヘルプ記事もあるはずです。
最新バージョンは常にQNAPのダウンロードセンターのウェブサイトからダウンロードして手動でインストールすることもできます。