Hikvision Hybrid SAN и Cluster Storage 2.0: как закрыть уязвимости PHP2Shell
27-10-2026
32
Компания VIATEC информирует партнеров о выявлении двух критических уязвимостей PHP2Shell (CVE-2026-109618 и CVE-2026-109619), касающихся систем хранения Hikvision Hybrid SAN и Cluster Storage 2.0. Они позволяют удаленно выполнять произвольный код на устройстве без аутентификации.
Для Hybrid SAN патч безопасности уже выпущен. Для Cluster Storage 2.0 исправление еще разрабатывается. Ниже рассмотрим, какие модели и версии под угрозой, как установить патч и что изменится после обновления.
Архив с инструкцией и файлами патча
Что произошло
В октябре 2026 года в языке PHP выявили две критические уязвимости, известные как PHP2Shell. PHP работает примерно на 70–80 % всех сайтов, поэтому по масштабу угрозы их сравнивают с ошибкой Heartbleed 2014 года. Для систем хранения это означает, что веб-интерфейс управления может стать точкой входа для злоумышленника.
ВажноПатч для Hikvision Hybrid SAN не влияет на хранение данных, работу платформы и совместимость с остальной системой. Изменяется только веб-интерфейс.
Какие модели и версии под угрозой
Hikvision разделяет устройства по версии системы: 915 (9.1.5) или 920 (9.2.0).
Hybrid SAN, система 915
- DS-A81016S;
- DS-A82024D, DS-A82048D;
- DS-A80624S;
- DS-A80316S, DS-A80324S, DS-A80336S, DS-A80348S;
- DS-A71024R, DS-A71036R, DS-A71048R, DS-A71072R;
- DS-A72024R, DS-A72072R.
Патч подходит для программных версий от V2.3.4-2 до V2.3.8-10. Если установлена версия ниже 2.3.4-2, сначала обновите систему до 2.3.4-2.
Hybrid SAN, система 920
- DS-A81024S, DS-A81024S-V2, DS-A81048S, DS-A81072S(ISS), DS-A81048D-V2;
- DS-A83024S.
Для этой группы патч подходит для версий от V2.3.9-2 до V2.3.9-8.
Cluster Storage, система 915
- DS-A71024R-CVS, DS-A71048-CVS, DS-A71072R-CVS;
- DS-A72024R-CVS, DS-A72048-CVS, DS-A72072R-CVS.
В документе производителя для этой группы указана программная версия V1.1.4. Исправление для Cluster Storage 2.0 находится в разработке.
Как проверить версию
Версию ПО видно на странице входа: https://IP:2004. Версию системы смотрите после входа в разделе Maintenance → Common → Version Information. От нее зависит, какой пакет и какой браузер использовать:
- Система 9.2.0: выберите пакет 920 и выполняйте обновление через Microsoft Edge;
- Система 9.1.5: выберите пакет 915 и выполняйте обновление через Internet Explorer или Microsoft Edge в режиме IE.
Порядок обновления
Патч состоит из трех файлов, которые устанавливают последовательно. Чтобы открыть страницу обновления, войдите на https://IP:2004 и перейдите в System → Tool.
- Загрузите первый пакет: storos-20261023-U_OS-920-patch1.bin (для системы 915 — файл с отметкой 915 в названии). Если обновление завершилось ошибкой, остановите процесс и обратитесь в техническую поддержку Hikvision.
- После успешной установки подождите 2 минуты и загрузите второй пакет (patch2).
- Загрузите третий пакет (patch3).
ПримечаниеНа системе 915 после третьего пакета может появиться сообщение об ошибке. Согласно документу производителя, это нормальное поведение.
Как включить веб-службу после патча
После установки патча веб-служба Hybrid SAN по умолчанию отключена, а вход доступен через новый интерфейс:
- Откройте https://IP:2004 и войдите в новый веб-интерфейс Hybrid SAN.
- Включите Storage Manage System.
- Нажмите Login, чтобы перейти на страницу входа Hybrid SAN.
- Войдите в веб-интерфейс Hybrid SAN в обычном порядке.
Проверка результата
Откройте Log System → Upgrade Log. Если в последних записях трижды появилось сообщение «Upload bios success», обновление завершено. Далее проверьте функции, задействованные в проекте, прежде всего запись и резервное копирование видео и изображений. Если обнаружите отклонения, обратитесь в техническую поддержку.
Важный нюансПоскольку веб-служба отключается по умолчанию, на объектах с регламентами доступа к хранилищам стоит предупредить администраторов заказчика о новом порядке входа.
Что учесть интегратору
- проведите инвентаризацию установленных хранилищ по модели, системе (915 или 920) и программной версии;
- планируйте обновление вне пиковых часов записи: между пакетами требуется пауза 2 минуты;
- для Cluster Storage 2.0 следите за выходом исправления и до того времени ограничьте сетевой доступ к порту 2004 только доверенными адресами.
Заказ и комплектация в B2B-кабинете VIATEC
Добавляйте системы хранения Hikvision и сопутствующее оборудование в проектные спецификации и формируйте смету в личном B2B-кабинете VIATEC:
- наличие и сроки поставки видны в кабинете;
- персональные партнерские цены;
- дополнение спецификации совместимым оборудованием: жесткими дисками, коммутаторами, регистраторами;
- резервирование под проект в один клик.
По вопросам версий ПО, выбора пакета обновления и плана обновления хранилищ обращайтесь к вашему персональному менеджеру VIATEC.
