QNAP ha confermato due vulnerabilità critiche (PHP2Shell) nei propri NAS. Scopri le versioni coinvolte e le impostazioni da disattivare in attesa dell'aggiornamento.
Il 22 ottobre 2026, il produttore QNAP ha confermato tramite il bollettino ufficiale QSA-26-18 che molteplici sistemi operativi e applicazioni per i propri dispositivi di rete (NAS) sono vulnerabili a due falle critiche del motore PHP, note collettivamente come QNAP vulnerabilità PHP2Shell. Il problema riguarda le versioni attuali di QTS, QuTS hero e QuTScloud, e permette a un utente malintenzionato di eseguire codice da remoto senza bisogno di autenticarsi. In attesa del rilascio degli aggiornamenti definitivi, chi gestisce l'infrastruttura IT deve isolare immediatamente i NAS esposti su Internet disattivando l'inoltro delle porte sul router e i servizi UPnP.
I dettagli tecnici di PHP2Shell: CVE-2026-109618 e CVE-2026-109619
Le due vulnerabilità presentano un punteggio di gravità CVSS v4.0 pari a 9.2, che le classifica al livello critico. Il progetto open source PHP ha rilasciato le correzioni ufficiali il 21 ottobre 2026, ma i primi tentativi di attacco in rete erano già stati intercettati dal gruppo di sicurezza di Amazon il 17 ottobre. Al 24 ottobre 2026, QNAP dichiara di non aver registrato attacchi riusciti contro i dispositivi dei propri utenti, pur segnalando scansioni e tentativi di violazione attivi a livello globale.
Le falle agiscono prima della schermata di autenticazione dell'interfaccia di gestione del NAS. Nello specifico:
- CVE-2026-109618: definita da QNAP come "Memory corruption during out-of-memory (OOM) handling". Una richiesta HTTP appositamente creata esaurisce la memoria mentre i dati sono solo parzialmente inizializzati. Questo induce la procedura di pulizia di PHP a processare dati non validi.
- CVE-2026-109619: definita da QNAP come "Use-after-free from stale global state retained between requests". Un processo PHP worker riutilizza memoria già liberata da una richiesta precedente. Questo meccanismo permette la fuga di dati o l'esecuzione diretta di codice.
Prodotti e versioni firmware coinvolti
Secondo quanto riportato nell'avviso di sicurezza QSA-26-18, il problema risiede nell'interprete PHP integrato nel firmware dei dispositivi. Sono interessati i seguenti sistemi operativi e applicazioni:
- QTS: versione 6.1.0; versione 5.2.11 e precedenti.
- QuTS hero: versione h6.1.0; ramo h6.0.x; versione h5.2.11 e precedenti.
- QuTScloud: versione c5.2.9 e precedenti.
- Applicazioni QNAP: QuMagie (versioni 2.10.1 e precedenti), Note Station 3 (versioni 3.9.14 e precedenti), QNE ADRA (versioni 1.0.7 e precedenti), QVR Surveillance per modelli ARM32 (versioni 3.0.3 e precedenti), TVR OS (versioni 1.0.4 e precedenti).
- Eventuali container Docker in esecuzione sul NAS basati su versioni PHP non aggiornate.
L'impatto sulle aziende italiane
Nelle piccole e medie imprese italiane e negli studi professionali, il NAS non è un semplice disco di rete, ma l'apparato che custodisce le cartelle condivise aziendali, gli archivi documentali e i backup centralizzati. A differenza di un server web generico, dove l'amministratore di sistema può aggiornare autonomamente il pacchetto PHP tramite riga di comando, nei sistemi QNAP l'interprete PHP è strettamente integrato nel firmware rilasciato dal produttore.
Se il dispositivo aziendale ha porte esposte su Internet, solitamente per permettere ai dipendenti il lavoro da remoto o l'accesso ai file in mobilità, un aggressore può sfruttare la vulnerabilità dall'esterno. Non avendo bisogno di credenziali valide, l'attacco apre la strada all'installazione di ransomware o all'esfiltrazione di dati aziendali riservati. Questo scenario comporta impatti diretti sugli obblighi di notifica previsti dal GDPR in caso di violazione dei dati (data breach).
Cosa fare per proteggere il NAS
In attesa delle correzioni stabili, QNAP e gli analisti di sicurezza raccomandano di applicare immediatamente le seguenti misure temporanee per mitigare il rischio:
- Eliminare l'esposizione diretta a Internet: accedere al pannello di gestione del firewall o del router aziendale e disattivare qualsiasi regola di inoltro delle porte (port forwarding) che punta verso l'indirizzo IP locale del NAS.
- Disattivare l'UPnP: disabilitare la funzione UPnP (Universal Plug and Play) sia sul router aziendale sia nelle impostazioni di rete del pannello di controllo del NAS. Questo impedisce ai dispositivi di aprire automaticamente porte verso l'esterno senza il controllo dell'amministratore.
- Bloccare i servizi web non indispensabili: se risultano attivi, disattivare il server web interno al NAS e fermare le applicazioni esposte (come Note Station o QuMagie) se non sono strettamente necessarie per l'operatività quotidiana.
- Passare a canali cifrati per l'accesso remoto: non consentire mai l'accesso diretto all'interfaccia di gestione da indirizzi IP pubblici. L'accesso dall'esterno deve avvenire esclusivamente tramite la rete privata virtuale (VPN) aziendale o tramite i canali di inoltro cloud sicuri forniti dal produttore.
- Verificare i container Docker: controllare tutte le istanze containerizzate attive sul NAS. È necessario ricostruire o aggiornare le immagini che contengono binari PHP vulnerabili, poiché operano in modo indipendente dal firmware di base.
Lo stato degli aggiornamenti ufficiali
Al momento le versioni stabili del firmware contenenti le correzioni sono ancora in fase di sviluppo. A partire dal 23 ottobre 2026, QNAP ha reso disponibili le prime versioni di prova per alcuni rami specifici, tra cui "QTS 5.2.11.3661 build 20261023 Public Beta" e "QuTS hero h5.2.11.3661 build 20261023 Public Beta".
Per gli ambienti di produzione aziendali è fortemente sconsigliato installare versioni Beta. Occorre monitorare il bollettino ufficiale QSA-26-18 e applicare l'aggiornamento del firmware non appena usciranno le versioni definitive. QNAP non ha ancora comunicato una data precisa per il completamento del rilascio su tutti i modelli supportati.
Verificare nel registro di configurazione del proprio router aziendale se l'indirizzo IP del NAS riceve attualmente traffico dalle porte 80, 443, 8080 o da altre porte personalizzate esposte verso l'esterno.
