QNAP QNE (ADRA) : deux failles critiques liées à PHP2Shell

QNAP corrige deux vulnérabilités critiques dans QNE (ADRA), son système d'exploitation pour commutateurs ADRA. L'avis QSA-26-19, publié le 30 octobre 2026 et relayé par le CERT-FR dans CERTFR-2026-AVI-1437, décrit un risque d'exécution de code arbitraire à distance. Les deux CVE relèvent de la classe « PHP2Shell » : QNAP note que « des tentatives d'exploitation contre PHP ont été signalées publiquement ». Correctif en 1.0.7.q327.

Produits et versions concernés

QNE (ADRA) en version 1.0.7 et antérieures. La table de l'avis indique 1.0.7.q327 en version corrigée et marque le statut « Resolved ». Vérifiez la version réellement déployée sur vos commutateurs ADRA avant de conclure.

Les deux CVE

Toutes deux notées CVSS v4.0 à 9.2 (critique) :

• CVE-2026-109618 : corruption mémoire lors de la gestion des situations de mémoire insuffisante (OOM).
• CVE-2026-109619 : use-after-free provoqué par un état global obsolète conservé entre deux requêtes.

Ces défauts touchent le moteur PHP embarqué — d'où l'étiquette PHP2Shell de l'avis. QNAP précise ne pas avoir reçu de signalement d'exploitation visant spécifiquement ses produits, mais les tentatives génériques contre PHP, elles, sont déjà documentées.

État de l'exploitation

L'avis distingue deux niveaux : des tentatives publiques contre PHP d'un côté, et aucun signalement visant les produits QNAP de l'autre. La faille n'est pas référencée comme activement exploitée sur les appareils QNAP, mais la technique sous-jacente circule. Pour un équipement réseau, l'écart entre « technique publique » et « appareil ciblé » se comble vite.

Que faire

1. Mettez à jour QNE (ADRA) en 1.0.7.q327 ou version ultérieure, conformément à QSA-26-19.
2. Sortez l'interface de gestion des réseaux non maîtrisés. Un commutateur d'administration n'a rien à faire sur une interface exposée à Internet.
3. Surveillez les journaux du composant web/PHP (requêtes anormales, redémarrages du processus) si vous ne pouvez pas patcher immédiatement.

Contexte

Ce correctif QNAP s'inscrit dans la vague PHP2Shell qui a déjà nourri l'actualité FR — voir le scan recensant 250 000 sites vulnérables. Le schéma est désormais familier : une classe de vulnérabilité dans un composant transverse comme PHP se répercute, un éditeur après l'autre, dans tous les produits qui l'embarquent. Pour un appareil dédié comme un commutateur ADRA, l'utilisateur ne voit pas « PHP » : il voit un firmware. D'où l'intérêt de traiter les bulletins constructeur comme le vrai point de synchronisation, même quand la faille d'origine vit plusieurs couches plus bas.