緊

• 緊急 QNAP-NAS 脆弱性関連情報 ※PHP2Shell
  プログラミング言語「PHP」重大な脆弱性「php2shell」につき、QNAP社より同社製NASへの影響等に関する報告が公開されました。現時点でQNAP製品を標的とした悪用の報告は受けておらず、影響を受けた製品の調査と修正を進めた上で修正版が利用可能になり次第アドバイザリーをアップデートするとのことにつき、現在NASをご利用中のお客様におかれましては、下記の内容をご確認の上、「緩和策」、及び「推奨事項」の２項に記載される対策を適用いただくことを強くお勧め致します。 ※ご注意：以下の内容はメーカーウェブサイト掲載情報の機械翻訳です。これらは今後更新される可能性があります。 ■複数のQNAP製品に影響を与えるPHP(PHP2Shell)の脆弱性 ※2026年 10月22日公開 最終更新日：2026年 10月 22日セキュリティID：QSA-26-18危険度：重要CVE-2026-109618、CVE-2026-109619影響を受ける製品：QTS 5.2.7、QuTS hero h5.2.8、QuTS cloud c5.2.8、QVP 2.7.1x、QuTS hero h5.2.11以前、QuTScloud c5.2.9以前、QuMagie 2.10.1以前、Note Station 3 3.9.14以前、QNE(ADRA)1.0.7以前、QVR Surveillance 3.0.3以前(ARM32モデル)、TVR OS 1.0.4以前 ■概要「PHP2Shell」として知られる2つの重大な脆弱性が、QNAPオペレーティングシステムのウェブコンポーネントや複数のQNAPアプリケーションで使用されるオープンソースのスクリプト言語PHPに影響を与えると報告されています。これらの脆弱性が悪用された場合、認証されていないリモート攻撃者が、影響を受けたデバイス上で任意のコードを実行できるようになる可能性があります。 ・CVE-2026-109618:メモリ不足(OOM)処理時のメモリ破損。作成されたHTTPリクエストは、リクエストデータが部分的に初期化されていない間にメモリを消耗し、PHPのクリーンアップが無効なデータを処理してしまうことがあります。CVSS v4.0:9.2。・CVE-2026-109619: リクエスト間で保持される古びたグローバル状態から自由に使用。同じPHPワーカーが処理した後のリクエストは、前のリクエストで解放されたメモリにアクセスすることができ、コードの実行やメモリの開示につながります。CVSS v4.0:9.2。 これら双方の脆弱性は、アプリケーションレベルの認証が行われる前にトリガーされる可能性があります。PHPプロジェクトは2026年10月21日にPHP_8.2.35、8.3.36、8.4.27、8.5.12で修正をリリースしました。PHPに対する悪用の試みが公に報告されていますが、QNAPはQNAP製品を標的とした悪用の報告を受けていません。QNAPは現在、影響を受けた製品の調査と修正を進めており、このアドバイザリーは修正版が利用可能になり次第更新されます。それまでは、以下の対策を適用することを強くお勧めします。 ■影響を受ける製品 影響を受けた製品 現状 修正版 QTS ...