Dos fallos muy graves de PHP permiten entrar en un servidor sin contraseña, y ya se están aprovechando. QNAP sacó el arreglo el 23 de octubre y el domingo dejamos al día los NAS de nuestros clientes. Qué hacer si usted tiene uno.
El 21 de octubre se publicaron dos fallos muy graves en PHP, el lenguaje con el que funcionan muchísimas páginas web y también la pantalla de administración de los NAS. Los han llamado PHP2Shell: permiten a un desconocido ejecutar lo que quiera en el equipo desde internet, sin usuario ni contraseña. Su nota de gravedad es de 9,2 sobre 10.
Los NAS de QNAP llevan PHP dentro. QNAP lo reconoció en su aviso QSA-26-18 del 22 de octubre y el día 23 publicó la versión corregida de su sistema: QTS 5.2.11 build 20261023, y las equivalentes para QTS 6.1 y QuTS hero. Antes de que el fallo se hiciera público ya se habían visto ataques aprovechándolo.
Un NAS es donde un negocio guarda lo que no puede perder: facturas, copias de seguridad, la base de datos del programa. Un NAS abierto a internet y sin actualizar es una puerta abierta.
El domingo 25 de octubre revisamos uno a uno los NAS QNAP que mantenemos a nuestros clientes y los dejamos al día y protegidos, comprobando después que las copias y los programas seguían funcionando. Nuestros clientes no han tenido que hacer nada.
Lo mismo vale para Synology y otras marcas: también llevan PHP y han sacado o están sacando su arreglo.
Datos a 29/10/2026, según el aviso QSA-26-18 de QNAP y la información publicada por el equipo de PHP.
Desde el 5 de octubre de 2026 el documento de control del transporte de mercancías tiene que ser digital: un PDF con código QR que la inspección pueda descargar. Qué lleva, a quién afecta y cómo hacerlo gratis.
Nuevo programa para instaladores y servicio técnico a domicilio: calderas, aire acondicionado, electricidad, fontanería y reformas. Avisos, agenda por técnico, parte con fotos y firma del cliente, y factura con lo que se apuntó.
Nuevo programa para talleres de coches, motos, bicis, informática, móviles, relojes y electrodomésticos. Cada reparación en su columna, el presupuesto aceptado desde el móvil y el aviso por WhatsApp cuando está listo.