QNAPは、PHPに見つかった深刻な脆弱性「PHP2Shell」について、同社のOSやアプリケーション向けに修正版を順次提供している。対象製品に関するセキュリティアドバイザリも公開した。
PHP2Shellは、「CVE-2026-109618」と「CVE-2026-109619」の2件の脆弱性を指す。メモリ破壊や、解放済みのメモリを使用する「Use After Free」に関する問題で、コードの実行や情報漏洩につながるおそれがある。
同社は「QTS」「QuTS hero」「QuTScloud」「TVR OS」などのOSと、「Notes Station 3」「QVR Surveillance」向けにセキュリティアップデートを用意した。
一方、内部ネットワークの脅威を検出・対応する「NDR」機能を備えた「ADRA」デバイスのOS「QNE ADRA」では、1.0.7以前が影響を受けるとして、修正版を準備している。
同社は、修正されていない対象機器をインターネットに公開せず、信頼できるネットワークからのアクセスに限るなどの対策を求めている。また、「Container Station」のコンテナやサードパーティ製アプリに含まれるPHP環境は、これらのアップデートの対象外となる。
MARBLEの対応例：この件の場合
MARBLEは、対象のQNAP製品と、それとは別に使われているPHP環境をまず確認する。
- QNAP製品の利用状況とOSのバージョンを確かめる
- QNE ADRAの修正版の提供状況を確かめる
- 対象機器の公開状況とアクセス制限を導入した会社に確かめる
- Container Stationや外部アプリのPHP環境を確かめ、必要な更新をする
関係するサービス
※金額は一例です。システムの構成や規模、作業の範囲によって変わります。
出典
Security NEXT「QNAP、脆弱性「PHP2Shell」へ順次対応 - 「NDR」向け更新は準備中」（2026年11月2日）
この記事は、上の出典をもとに当社がまとめ直したものです（生成AIで下書きし、担当者が確認しています）。詳しい内容や最新の状況は、出典をご確認ください。
