原文標題：QNAP Security Update: PHP2Shell Vulnerabilities Resolved in QTS, QuTS hero, and QuTScloud
QNAP 於台灣時間 10 月 30 日發布 PHP2Shell 安全處置更新，說明針對 PHP 核心兩項高風險漏洞 CVE-2026-109618 與 CVE-2026-109619 的產品檢查與修補進度。官方以 CVSS v4.0 9.2 分描述這組漏洞，並指出漏洞細節在正式修補前外洩，已有安全廠商觀察到利用活動，因此 NAS 管理員應優先檢查對外暴露的設備與相關服務。
官方時間線顯示 PHP 專案於 10 月 21 日發布修補，QNAP 於 10 月 22 日推出 QSA-26-18 安全公告與暫時緩解措施，10 月 24 日將 QTS、QuTS hero、QuTScloud 的已修補版本列入公告，10 月 28 日進一步更新 Notes Station 3 的修補狀態。QNAP 表示其產品安全事件應變團隊同步檢查 NAS 作業系統、應用程式、網路設備與監控產品，並持續更新受影響清單。
依 10 月 30 日官方清單，QTS 已修補版本包括 6.1.0.3656 build 20261023、5.2.11.3661 build 20261023 或更新版本；QuTS hero 包括 h6.1.0.3656、h6.0.2.3656 與 h5.2.11.3661（皆為 build 20261023）或更新版本。QuTScloud 為 c5.2.9.3661 build 20261023 或更新版本。這些版本分屬不同系統分支，不能只看末段版本號就推斷所有機種均適用。
應用與監控系統方面，Notes Station 3 的修補門檻為 3.9.15 或更新版本，QVR Surveillance 3 為 3.0.3.1756。其他使用 PHP 的 QNAP 產品仍須以 QSA-26-18 最新內容為準，不能把上述清單視為所有產品均已修補完畢。
QNAP 建議使用者從控制台的韌體更新功能安裝適用版本，並檢查應用程式中心的相關更新。官方同時表示已對自家網站、商店及雲端服務進行防護，至公告時沒有發現這些服務因本次漏洞造成使用者資料遭存取或外洩的證據；這項說法不等於保證所有客戶 NAS 都未遭入侵。
由於漏洞可能涉及未經驗證的遠端程式碼執行，管理員除了套用更新，也應依官方安全公告檢查裝置的外部存取設定、異常登入與系統紀錄。已安裝更新並不能自動證明此前沒有被利用；若發現可疑行為，仍需依事件應變流程調查。
發生了什麼事
QNAP 公布 PHP2Shell 修補進度與多個 NAS 作業系統、應用程式的最低安全版本，並更新 QSA-26-18 安全公告，提醒管理員盡快完成升級。
為什麼重要
PHP2Shell 涉及高風險遠端程式碼執行，NAS 常儲存企業與個人重要資料。明確版本門檻能讓管理員核對自己的分支是否已有修補，避免只看到「已修復」就忽略舊版設備。
影響哪些人
使用 QTS、QuTS hero、QuTScloud、Notes Station 3、QVR Surveillance 3 的 NAS 管理員、企業備份維運人員及對外提供服務的使用者，都應檢查版本與設備暴露情況。
已確認與未確認
已確認 QNAP 公布的安全公告時間線與上述修補版本。QNAP 稱自家網站及雲端服務未發現資料外洩證據，但未提供所有客戶 NAS 的入侵統計；其他產品仍需追蹤最新 QSA-26-18。
