Hikvision Hybrid SAN і Cluster Storage 2.0: як закрити вразливості PHP2Shell
27-10-2026
27
Компанія VIATEC інформує партнерів про виявлення двох критичних вразливостей PHP2Shell (CVE-2026-109618 та CVE-2026-109619), що стосуються систем зберігання Hikvision Hybrid SAN і Cluster Storage 2.0. Вони дозволяють віддалено виконувати довільний код на пристрої без автентифікації.
Для Hybrid SAN патч безпеки вже випущено. Для Cluster Storage 2.0 виправлення ще розробляється. Нижче розглянемо, які моделі й версії під загрозою, як встановити патч і що зміниться після оновлення.
Архів з інструкцією та файлами патча
Що сталося
У жовтні 2026 року в мові PHP виявили дві критичні вразливості, відомі як PHP2Shell. PHP працює приблизно на 70–80 % усіх сайтів, тому за масштабом загрози їх порівнюють із помилкою Heartbleed 2014 року. Для систем зберігання це означає, що веб-інтерфейс керування може стати точкою входу для зловмисника.
ВажливоПатч для Hikvision Hybrid SAN не впливає на зберігання даних, роботу платформи та сумісність із рештою системи. Змінюється лише веб-інтерфейс.
Які моделі та версії під загрозою
Hikvision розподіляє пристрої за версією системи: 915 (9.1.5) або 920 (9.2.0).
Hybrid SAN, система 915
- DS-A81016S;
- DS-A82024D, DS-A82048D;
- DS-A80624S;
- DS-A80316S, DS-A80324S, DS-A80336S, DS-A80348S;
- DS-A71024R, DS-A71036R, DS-A71048R, DS-A71072R;
- DS-A72024R, DS-A72072R.
Патч підходить для програмних версій від V2.3.4-2 до V2.3.8-10. Якщо встановлена версія нижча за 2.3.4-2, спочатку оновіть систему до 2.3.4-2.
Hybrid SAN, система 920
- DS-A81024S, DS-A81024S-V2, DS-A81048S, DS-A81072S(ISS), DS-A81048D-V2;
- DS-A83024S.
Для цієї групи патч підходить для версій від V2.3.9-2 до V2.3.9-8.
Cluster Storage, система 915
- DS-A71024R-CVS, DS-A71048-CVS, DS-A71072R-CVS;
- DS-A72024R-CVS, DS-A72048-CVS, DS-A72072R-CVS.
У документі виробника для цієї групи вказано програмну версію V1.1.4. Виправлення для Cluster Storage 2.0 перебуває в розробці.
Як перевірити версію
Версію ПЗ видно на сторінці входу: https://IP:2004. Версію системи дивіться після входу в розділі Maintenance → Common → Version Information. Від неї залежить, який пакет і який браузер використовувати:
- Система 9.2.0: оберіть пакет 920 і виконуйте оновлення через Microsoft Edge;
- Система 9.1.5: оберіть пакет 915 і виконуйте оновлення через Internet Explorer або Microsoft Edge в режимі IE.
Порядок оновлення
Патч складається з трьох файлів, які встановлюють послідовно. Щоб відкрити сторінку оновлення, увійдіть на https://IP:2004 і перейдіть до System → Tool.
- Завантажте перший пакет: storos-20261023-U_OS-920-patch1.bin (для системи 915 — файл із позначкою 915 у назві). Якщо оновлення завершилося помилкою, зупиніть процес і зверніться до технічної підтримки Hikvision.
- Після успішного встановлення зачекайте 2 хвилини й завантажте другий пакет (patch2).
- Завантажте третій пакет (patch3).
ПриміткаНа системі 915 після третього пакета може з'явитися повідомлення про помилку. За документом виробника, це нормальна поведінка.
Як увімкнути веб-службу після патча
Після встановлення патча веб-служба Hybrid SAN за замовчуванням вимкнена, а вхід доступний через новий інтерфейс:
- Відкрийте https://IP:2004 і увійдіть у новий веб-інтерфейс Hybrid SAN.
- Увімкніть Storage Manage System.
- Натисніть Login, щоб перейти на сторінку входу Hybrid SAN.
- Увійдіть у веб-інтерфейс Hybrid SAN у звичному порядку.
Перевірка результату
Відкрийте Log System → Upgrade Log. Якщо в останніх записах тричі з'явилося повідомлення «Upload bios success», оновлення завершено. Далі перевірте функції, задіяні на проєкті, насамперед запис і резервне копіювання відео та зображень. Якщо виявите відхилення, зверніться до технічної підтримки.
Важливий нюансОскільки веб-служба вимикається за замовчуванням, на об'єктах із регламентами доступу до сховищ варто попередити адміністраторів замовника про новий порядок входу.
Що врахувати інтегратору
- проведіть інвентаризацію встановлених сховищ за моделлю, системою (915 чи 920) і програмною версією;
- плануйте оновлення поза піковими годинами запису: між пакетами потрібна пауза 2 хвилини;
- для Cluster Storage 2.0 стежте за виходом виправлення й до того часу обмежте мережевий доступ до порту 2004 лише довіреними адресами.
Замовлення та комплектація в B2B-кабінеті VIATEC
Додавайте системи зберігання Hikvision та супутнє обладнання до проєктних специфікацій і формуйте кошторис в особистому B2B-кабінеті VIATEC:
- наявність і терміни постачання видно в кабінеті;
- персональні партнерські ціни;
- доповнення специфікації сумісним обладнанням: жорсткими дисками, комутаторами, реєстраторами;
- резервування під проєкт в один клік.
З питань версій ПЗ, вибору пакета оновлення та плану оновлення сховищ звертайтеся до вашого персонального менеджера VIATEC.
