QNAP corrige vulnerabilidades críticas en sus NAS: qué revisar y cómo proteger tus datos

QNAP, fabricante de equipos NAS (almacenamiento conectado a la red), informó sobre su respuesta a PHP2Shell, un conjunto de dos vulnerabilidades críticas en el motor principal de PHP, el componente que usan muchas aplicaciones web para funcionar. Según el comunicado, las fallas permiten que un atacante sin credenciales ejecute código de forma remota, y su puntuación de gravedad es de 9,2 sobre 10 (CVSS v4.0). Los detalles técnicos se filtraron antes de que existiera una corrección oficial.

Qué significa a nivel técnico

Una falla de ejecución remota de código en un NAS puede dejar el equipo en manos de un tercero sin que nadie haya ingresado una contraseña. En la práctica, eso pone en riesgo la disponibilidad de la información: archivos que dejan de abrirse, volúmenes inaccesibles, datos cifrados o configuraciones alteradas. Como muchos NAS guardan tanto los documentos de trabajo como las copias de seguridad de otros equipos, un incidente en este dispositivo puede afectar a toda una empresa o a todo el archivo personal de un usuario.

QNAP explica que, al haberse filtrado los detalles antes del parche, proveedores de seguridad de todo el mundo observaron actividad de explotación antes de que las correcciones estuvieran disponibles. El comunicado no precisa si esa actividad alcanzó a equipos QNAP. La empresa también señala que no encontró evidencia de acceso o exposición de datos de usuarios por estas vulnerabilidades en sus propios servicios. Eso no equivale a confirmar que todos los NAS de los clientes estén a salvo: cada equipo debe revisarse y actualizarse.

Qué productos tienen corrección

QNAP revisó todos los productos que usan PHP y publicó versiones corregidas, entre ellas:

• QTS: 6.1.0.3656 y 5.2.11.3661, ambas con build 20261023 o posterior.
• QuTS hero: h6.1.0.3656, h6.0.2.3656 y h5.2.11.3661, con build 20261023 o posterior.
• QuTScloud: c5.2.9.3661, con build 20261023 o posterior.
• Notes Station 3: 3.9.15 o posterior. QVR Surveillance 3: 3.0.3.1756.

Para otros productos afectados y para confirmar si tu modelo está incluido, el fabricante remite a su aviso de seguridad QSA-26-18.

Cómo proteger tu NAS

• Actualizá el sistema desde Panel de control, Sistema, Actualización de firmware, y las aplicaciones desde App Center.
• Verificá la versión instalada en Estado del sistema. QNAP aclara que un mensaje de “no hay actualizaciones” en Live Update no confirma que la corrección esté aplicada.
• Revisá los contenedores y las aplicaciones de terceros. El PHP que corre dentro de Container Station o de apps externas no se actualiza con el firmware: hay que pedir la versión corregida a su proveedor.
• No expongas el NAS directamente a internet. Si necesitás acceso remoto, usá una VPN o una red interna de confianza.
• Mantené una copia independiente de lo importante, fuera del NAS y fuera de la misma red.

Si tu NAS ya muestra señales de compromiso

Si notás archivos que no se abren, extensiones desconocidas, mensajes extraños, lentitud inusual o accesos que no reconocés:

• Aislalo de la red. Desconectá el cable de red, sin apagarlo de forma brusca ni reiniciarlo repetidamente.
• No formatees ni reconstruyas el RAID. Esas acciones pueden sobrescribir información que todavía es recuperable.
• No cambies los discos de bahía ni intentes repararlos por tu cuenta. Anotá el orden en que estaban.
• Pedí asesoramiento antes de tocar nada. Cada caso depende del estado de los discos y no se puede prometer un resultado sin evaluarlo.

Cómo podemos ayudarte

En CM Data Recovery trabajamos con NAS, RAID y servidores. Nuestros ingenieros hacen una evaluación gratuita en el laboratorio de Palermo, y en CABA coordinamos el retiro sin cargo. Te explicamos qué se puede hacer antes de avanzar con cualquier procedimiento.

Créditos de la información original: QNAP, comunicado oficial del fabricante (30 de octubre de 2026).

Fuente original: QNAP, comunicado oficial del fabricante