Vulnerabilidades y Avisos de Seguridad: Impacto de vulnerabilidades críticas de PHP en productos de QNAP

Resumen de la alerta

QNAP ha comunicado la existencia de dos vulnerabilidades críticas en PHP que afectan a diversos productos de su catálogo. Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, podrían permitir que un atacante remoto no autenticado ejecutase código arbitrario en sistemas vulnerables.

El aviso tiene carácter preliminar. En el momento de la publicación, QNAP no ha anunciado versiones corregidas y está preparando las actualizaciones correspondientes. La información disponible no confirma explotación activa de estas vulnerabilidades.

Recursos afectados

Los productos y versiones afectados indicados por QNAP son los siguientes:

• QTS 6.1.0; QTS 5.2.11 y versiones anteriores.
• QuTS hero h6.1.0; h6.0.x; h5.2.11 y versiones anteriores.
• QuTScloud c5.2.9 y versiones anteriores.
• QuMagie 2.10.1 y versiones anteriores.
• Note Station 3 3.9.14 y versiones anteriores.
• QNE (ADRA) 1.0.7 y versiones anteriores.
• QVR Surveillance 3.0.3 y versiones anteriores, únicamente en modelos ARM32.
• TVR OS 1.0.4 y versiones anteriores.

Descripción de las vulnerabilidades

Ambas vulnerabilidades están relacionadas con la gestión de memoria durante el procesamiento de peticiones por PHP. Este tipo de problemas puede producirse cuando una aplicación utiliza datos o referencias de memoria en un estado no válido.

• CVE-2026-109618: una petición puede provocar el agotamiento de memoria mientras parte de sus datos permanece parcialmente inicializada. Durante la fase de limpieza de PHP, el tratamiento de esos datos podría permitir la ejecución remota de código.
• CVE-2026-109619: una petición posterior podría acceder a referencias globales que apuntan a memoria previamente liberada por otra petición. Esta situación podría derivar en ejecución de código o en exposición de memoria.

La ejecución remota de código implica que, si la vulnerabilidad se explotase con éxito, un atacante podría llegar a ejecutar instrucciones en el sistema afectado. La exposición de memoria, por su parte, puede implicar la divulgación de información almacenada en ella.

Impacto y nivel de riesgo

Los dos CVE están clasificados como críticos. Según la información publicada, un atacante remoto no autenticado podría intentar explotar estos fallos, por lo que los equipos expuestos directamente a Internet requieren una atención prioritaria.

El impacto potencial incluye la ejecución de código arbitrario y, en el caso de CVE-2026-109619, la posible exposición de memoria. No obstante, la alerta no informa de ataques confirmados ni de explotación activa. La existencia de las vulnerabilidades y su severidad no debe interpretarse como confirmación de que hayan sido utilizadas contra sistemas reales.

Solución y medidas recomendadas

No hay actualizaciones corregidas anunciadas por QNAP en este momento. La recomendación del fabricante es consultar el boletín QSA-26-18 y aplicar las actualizaciones cuando estén disponibles.

Mientras se publican las correcciones, QNAP recomienda reducir la superficie de exposición mediante las siguientes medidas:

• Retirar la exposición directa a Internet de los sistemas afectados.
• Desactivar las redirecciones de puertos y UPnP.
• Utilizar una VPN para el acceso remoto y limitar la administración a redes de confianza.
• Detener las aplicaciones afectadas y los servicios que no resulten necesarios.
• Revisar los registros mediante QuLog Center.
• Ejecutar Security Center y Malware Remover actualizados.

Estas acciones son medidas de reducción de exposición y no corrigen las vulnerabilidades. Asimismo, desactivar Web Server no protege la interfaz de administración del dispositivo.

Recomendaciones para organizaciones afectadas

1. Identificar los equipos QNAP que ejecuten cualquiera de los productos y versiones afectadas.
2. Priorizar la revisión de sistemas accesibles desde Internet, especialmente aquellos con administración remota o redirecciones de puertos activas.
3. Eliminar la exposición directa a Internet y canalizar el acceso administrativo mediante VPN y redes de confianza.
4. Deshabilitar temporalmente aplicaciones afectadas y servicios no esenciales cuando sea viable para la operación.
5. Revisar la actividad registrada en QuLog Center y mantener actualizados Security Center y Malware Remover.
6. Monitorizar las comunicaciones de QNAP y aplicar las actualizaciones oficiales en cuanto estén disponibles.