刚补完PHP固件，Plex又确认遭入侵：威联通两扇门都得查

刚补完PHP固件，Plex又确认遭入侵：威联通两扇门都得查

十月底群晖勒索刷屏那几天，威联通用户还在看热闹，转头官方号就把安全公告拍到了自己桌上：先是PHP的洞，接着Plex又被实锤报了入侵。 两个漏洞有个共同的恶心之处——不需要账号密码，在登录框前面就把你办了。

第一扇门：PHP2Shell，系统自己的PHP出了洞

这对CVE（CVE-2026-109618/109619）坏在内存清理和请求间全局状态复用的环节，没账号、没密码，连MFA都拦不住，攻击发生在登录框之前。NAS奇思妙想

QNAP反应不算慢：10月23日起QTS、QuTS hero、QuTScloud修复固件分批上架，官方号10月30日的提醒相当直白——“今晚就可以登录NAS检查更新”。亚马逊威胁情报比漏洞公开披露早四天就记录到首次攻击尝试，扫描模板早已流传，据Ars Technica报道，可能波及的主机高达130万台。QNAP威联通企业存储NAS奇思妙想

查修复别只看大版本号，要认全串：QTS 6.1得≥6.1.0.3656、QTS 5.2得≥5.2.11.3661，构建日期20261023——公告专门强调的点。QNAP威联通企业存储

更扎心的是：升了固件≠万事大吉，还有三个盲区——

• NoteStation 3、QVR这类自带PHP的套件走App Center单独分发，要另行更新。QNAP威联通企业存储

• Container Station容器里的PHP不归固件管，自己拉的镜像自己负责；

• Download Station和PHP Extensions已9月30日结束支持，官方表态不修复，建议备份下载任务后直接卸载。过保老机型同理：只放内网冷备，别挂公网。NAS奇思妙想

第二扇门：Plex2Shell，这次不是理论风险

PHP那档算擦肩而过，Plex已经进了受害者名单。四个CVE串成Plex2Shell漏洞链，利用代码10月16日现身，攻击者对互联网可达的Plex Media Server可免账号密码执行任意代码。小白安全成长记小众软件

11月6日QNAP公告：已收到用户设备疑似被攻陷的报告。已被确认的受害服务器被拿去挖矿、跑代理——你的NAS变免费矿机，早就不是段子。小众软件

划重点：这洞长在Plex上，不长在QTS上，系统更新不代表App安全。 打开App Center→我的应用，Plex Media Server≤1.43.2都有风险，≥1.43.3.10861才算修好。开了外网访问的，建议换Tailscale类组网或设白名单。小众软件小白安全成长记

没公网IP的，也别急着安慰自己

评论区总有人问"没公网IP是不是就没事"——myQNAPcloud中转、UPnP自动映射，任何一个都能让NAS处于"在线挨打"状态。 关掉端口转发和UPnP，远程访问走QVPN或自建VPN，别让管理口裸奔；再翻一眼登录日志、计划任务和CPU负载——被挖矿的机器多少会露马脚。

老话还是那句：公网暴露+不更新固件=活靶子。 两条公告归根到底就一句话：方便是第二位的。今晚先把"检查更新"点了，顺手看一眼Plex的版本号。