La semaine dernière, deux failles critiques dans PHP ont fait trembler une bonne partie du Web pendant plusieurs jours. QNAP propose de son côté QTS 5.2.11.3661 et QuTS hero h6.0.2.3656, afin de corriger les failles de sécurité liées à PHP2Shell, mais pas seulement… Le fabricant en profite pour corriger une longue liste de bugs et renforcer la protection des snapshots sur QuTS hero.
PHP2Shell & QNAP
Derrière ce nom PHP2Shell (un peu barbare) se cachent 2 vulnérabilités : CVE-2026-109618 et CVE-2026-109619. Elles permettent à un attaquant d’exécuter du code à distance, avec une simple requête Web spécialement construite.
QNAP propose 2 mises à jour QTS 5.2.11 et QuTS hero h6.0.2 pour corriger cela. Mais il en profite pour ajouter quelques améliorations.
QTS 5.2.11
Alors que QTS 6.1 est encore en Beta, le fabricant propose une série d’amélioration avec QTS 5.2.11. Regardons de plus près le journal des modifications :
- 2FA : l’e-mail de vérification en 2 étapes pouvait envoyer un code incomplet ;
- Stabilité : blocage du NAS et des clients NFS lors de forte charge avec Qtier, amélioration des transferts SMB et sous fortes charges d’E/S et un correctif sur un dépassement de tampon ;
- Mises à jour : les mises à jour automatiques cessaient de fonctionner parfois ;
- Régressions : timeout SNMP aléatoire sur certains OID, la fenêtre de gestion des volumes affichant 0 pour la taille, ainsi que pour les fichiers et les dossiers ;
- Stockage externe : montage NFS impossible d’un disque USB après réinsertion et les disques du boîtier TR-004 se réveillaient sans raison ;
- Administration : un admin délégué ne pouvait pas désactiver le compte d’un autre utilisateur ;
- Divers : accès au NAS via le port USB QuickAccess, vitesse d’envoi de fichiers en HTTPS, listes déroulantes du Moniteur de ressources et corrections de traductions…
QuTS hero h6.0.2
Pour rappel, QuTS hero est le système de QNAP basé sur ZFS, avec des fonctions pensées pour les entreprises. Cette version h6.0.2 apporte surtout un volet suppression sécurisée et snapshots immuables :
- L’utilisation d’une clé USB de suppression devient nécessaire pour des dossiers partagés WORM, ainsi que des LUN ou dossiers partagés contenant des snapshots immuables non expirés ;
- De nouvelles alertes et instructions apparaissent dans le Gestionnaire de stockage lors de la suppression d’un dossier partagé protégé, ou lors de la réinitialisation du NAS quand des snapshots immuables ou des dossiers WORM sont actifs…
Vous l’aurez compris, l’idée est d’empêcher une suppression (volontaire ou non) de données censées être immuables.
Côté correctifs, on retrouve les mêmes corrections de QTS (voir ci-dessus) avec quelques améliorations spécifiques :
- L’assistant d’extension d’un pool RAID 10 affichait un mauvais groupe RAID ;
- Une route statique IPv6 pouvait devenir passerelle par défaut ;
- Le bureau mettait du temps à s’afficher sur un NAS sans accès Internet ;
- L’installation d’applications échouait parfois sans raison et HybridDesk Station pouvait ne plus démarrer ;
- La page SnapSync restait blanche si le nom d’une tâche contenait plus de 10 caractères (UTF 8);
- La Multimedia Console pouvait ne pas fonctionner correctement…
QNAP recommande de mettre à jour toutes les applications dans l’App Center après cette mise à jour.
Et QTS 6.1 ?
QTS 6.1 est toujours en Beta pour le moment. La version finale n’a pas de date annoncée. QTS 6.1 et QuTS Hero 6.1 n’ont pas encore reçu de mise à jour concernant PHP2Shell au moment où nous écrivons ces lignes.
Faut-il faire la mise à jour ?
Oui et le plus vite possible. Pour cela, suivez les étapes suivantes :
- Panneau de configuration > Système > Mise à jour du firmware (ou mise à jour en direct)
- Si la mise à jour n’est pas proposée, ne laissez pas le NAS exposé sur Internet
- Aussi pendez à mettre à jour vos conteneurs et vos applications
Sources : QTS 5.2.11.3661 et QuTS hero h6.0.2.3656