ASD 剛剛通報了 PHP 的兩個重大漏洞（CVE-2026-109618 和 CVE-2026-109619）。QTS 內建的網頁伺服器使用了 PHP，而這無法單獨修補，只能透過更新韌體來處理。
QNAP 是否正在針對這些漏洞開發修補程式？
我的 NAS 並未對外網開放，但當我嘗試關閉網頁伺服器時，系統僅顯示會影響某些應用程式，但並未列出受影響的應用。根據我的判斷，可能受影響的應用有：
我目前在考慮，雖然 NAS 沒有對外部網路開放，是否還是需要關掉網頁伺服器。
補充：這個問題應該會影響大多數甚至全部的 QNAP NAS 機型，不過不好意思剛才沒寫，我的是 TS-451+，系統是 QTS 5.2.11.3652。
你家裡的網路裡有沒有可能存在惡意角色，會攻擊你的（未公開型號）NAS？
抱歉——我已經補充了 NAS 型號和 QTS 版本。這個 PHP 漏洞會影響所有運行 PHP 的 NAS 型號。我是否能信任我的家庭網路，取決於我能否信任裡面的所有設備，但這點值得懷疑。例如，我有一台連接網路的「智慧」電視，也有可能被攻擊。我用現有的方法測試過我的防火牆，但因為它不是「工業級」的，也沒有更昂貴防火牆那樣高的可視性，所以我無法確定它到底有多有效。我會編輯帖子，讓第二點的內容更明確一些。我現在只是考慮在修補程式釋出前先把網頁伺服器停用，這點小犧牲不算什麼。
對於仍在全軟體支援期內的機種，QNAP 很可能很快就會發布 php 更新
好的，TS451+ 標示為有完整的作業系統和應用程式更新，同時也有技術支援和安全性更新。我只是有點驚訝，似乎沒有看到任何通知來承認這個問題，或是標記正在開發補丁（特別是 PHP 今天已經釋出了針對兩個漏洞的修補程式）。我並不一定期待今天就有解決方案，像是「我們已經得知並正在處理」這樣的回應會讓人比較安心。僅供參考，我已經關閉了 NAS 網頁伺服器。
你提到了 QVR。最近不只是 PHP，nodejs 和 go 也一樣受關注。
在應用層面：
QVR Face、人員、智能搜尋
Go：暫時沒有立即風險，因為我們的功能不會連接到外部網路。新版本會在下一次發佈時納入。
php：不受影響。
node.js：不受影響。
QVR Pro / Surveillance / Center / Recording Vault
Go：暫時沒有立即風險，因為我們的功能不會連接到外部網路。新版本會在下一次發佈時納入。
PHP：ARM64 和 x86_64 版本：不受影響。ARM32 版本雖然包含該元件，但未啟用，我們將會移除。
node.js：不受影響。
其他元件方面，QNAP 之後會有正式公告。我們也正在進行修補作業。
註：這只是我就 QVR 部分的快速分享，其他部分不代表 QNAP 官方立場。
太棒了！非常感謝你的回覆！我真的很感激！
謝謝你的回覆！
您可以參考下方的安全公告，以獲取這些 PHP 漏洞的最新資訊。謝謝！
@RobG 修復已經推出 — 針對您的 TS-451+，請更新至 QTS 5.2.11.3661 build 20261023。其他型號及最新狀態，請參考下方的安全公告。謝謝！
[[安全公告] QNAP 關於重大 PHP 漏洞（PHP2Shell）之聲明與安全公告 QSA-26-18]([Security Notice] QNAP Statement on Critical PHP Vulnerabilities (PHP2Shell) & Security Advisory QSA-26-18)
謝謝你！我剛剛嘗試過更新，但介面顯示韌體已是最新版本，雖然它還是 QTS 5.2.11.3652。請問這次更新是不是無法透過 QTS 的一般更新介面取得？
QNAP 通常會透過更新程式分批推送更新，並不是所有使用者都會同時收到。他們已經多次解釋過這一點，應該也有相關的說明文章。
你隨時可以到 QNAP 下載中心網站下載最新版，然後手動安裝。