El INCIBE-CERT alerta de dos vulnerabilidades críticas de PHP que permiten la ejecución remota de código en productos de QNAP, Synology, Mitel, Tenable y Palo Alto Networks.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT ha publicado el aviso INCIBE-2026-778 sobre dos fallos críticos de PHP, englobados bajo el nombre PHP2Shell, que habilitan la ejecución remota de código por parte de un atacante no autenticado.
- ¿Dónde y cuándo? Aviso preliminar difundido el viernes 23 de octubre de 2026, con impacto en dispositivos QNAP desplegados en empresas, administraciones públicas y entornos domésticos de alta capacidad.
- ¿Qué resultado? Severidad 5 sobre 5, la máxima de la escala, en ambos CVE, estado de explotación no definido y ninguna versión corregida anunciada por el fabricante.
Dos fallos de memoria que abren la puerta a la ejecución remota de código
El primero de los identificadores es CVE-2026-109618. La descripción técnica del aviso señala que una petición puede agotar la memoria mientras sus datos están parcialmente inicializados. El procesamiento de ese bloque durante la limpieza de PHP es lo que abre la vía a la ejecución remota de código.
El segundo, CVE-2026-109619, describe un escenario encadenado. Una petición posterior puede utilizar referencias globales a memoria que otra petición ya ha liberado. El resultado posible es doble: ejecución de código o exposición de memoria del proceso afectado.
La superficie afectada es amplia y conviene leerla versión por versión: QTS 6.1.0 y QTS 5.2.11 y anteriores; QuTS hero h6.1.0, h6.0.x y h5.2.11 y anteriores; QuTScloud c5.2.9 y anteriores; QuMagie 2.10.1 y anteriores; Note Station 3 3.9.14 y anteriores; QNE (ADRA) 1.0.7 y anteriores; QVR Surveillance 3.0.3 y anteriores, únicamente en modelos ARM32; y TVR OS 1.0.4 y anteriores. Es la familia de fallos bautizada como PHP2Shell, que por ahora no cuenta con versión corregida.
Sin parches: las medidas de contención que exige el INCIBE-CERT
El fabricante QNAP ha publicado un aviso propio sobre el problema, pero todavía no ha anunciado versiones corregidas. El INCIBE-CERT remite al boletín QSA-26-18 y pide aplicar las actualizaciones en cuanto estén disponibles. Hasta entonces, el aviso es explícito: no existe solución definitiva.
Las recomendaciones son de contención, no de reparación. Retirar la exposición directa a Internet del dispositivo y desactivar las redireciones de puertos y el UPnP. Utilizar una VPN y restringir la administración a redes de confianza. Detener las aplicaciones afectadas y los servicios que no sean necesarios. Revisar QuLog Center y ejecutar Security Center y Malware Remover actualizados. El aviso introduce una advertencia que conviene subrayar: desactivar el Web Server no protege la interfaz de administración, y estas medidas no corrigen los fallos de raíz.
El INCIBE-CERT mantiene el aviso en severidad crítica y advierte de que ninguna de las mitigaciones disponibles corrige los fallos: solo el parche del fabricante lo hará.
El perímetro del problema desborda QNAP. El conjunto PHP2Shell afecta a otros fabricantes que emplean PHP en sus interfaces de gestión: Synology, Mitel, Tenable y Palo Alto Networks figuran entre los productos señalados. El aviso del INCIBE-CERT detalla las versiones concretas de QNAP, pero no las del resto de fabricantes, por lo que la revisión debe hacerse producto a producto contra el catálogo de cada proveedor.
El panorama de la ciberseguridad
PHP sostiene una parte mayoritaria de las interfaces web y de los paneles de administración que viajan dentro de dispositivos de almacenamiento, videovigilancia y comunicaciones. Esa ubicuidad explica por qué un fallo en su gestión de memoria se convierte en un problema de exposición directa para empresas y administraciones en cuanto aterriza en equipos conectados a Internet. El aviso INCIBE-2026-778 llega además con la clasificación más alta de la escala, severidad 5 sobre 5, y con un dato que obliga a la prudencia: el estado de explotación no está definido en el documento.
El INCIBE-CERT presta este servicio de alerta temprana precisamente para que los responsables de sistemas puedan reaccionar antes de que exista un exploit público. La recomendación operativa es suscribirse a los avisos y revisar el inventario de activos QNAP con acceso desde el exterior. Un servidor de almacenamiento o de videovigilancia sin inventariar es, en la práctica, un punto ciego.
La proyección es clara. QNAP publicará las correcciones en el boletín QSA-26-18 y el INCIBE-CERT actualizará el aviso cuando existan versiones parcheadas. Mientras llega ese momento, las medidas de contención reducen el riesgo pero no lo eliminan, y la responsabilidad recae en quien administra el equipo: inventario, segmentación de red y actualización inmediata en cuanto el fabricante libere el parche.
