QuikStation セキュリティパッチ 2026-10
======================================

概要

  RDX QuikStation 4 / QuikStation 8 / QuikStation8_10G の Web 管理画面
  （Apache / PHP）に対する、
  設定変更のみのセキュリティパッチです。全ファームウェア（1.x／2.x／3.x）に
  適用できます。世代は自動判別され、1.x（A/B 起動領域のない旧世代）では
  TLS 1.2 のみのプロファイルを使用します。
  重大な PHP の脆弱性「php2shell」（CVE-2026-109618、CVE-2026-109619）に
  対する PHP プロジェクト公表の緩和設定と、Web サーバー / TLS / PHP の
  堅牢化設定を含みます。対処する項目・対処しない項目の一覧は案内書
  （PDF）をご覧ください。

  ファームウェアの更新や装置の再起動は行いません。バックアップ動作・
  iSCSI 接続・ネットワークリンクには影響しません。適用時に Web 管理画面
  が数秒間再起動します。

ファームウェア更新との順序

  1.x 系から 2.x 系以降への更新ではパッチは完全に消えます（装置は「未適用」
  の状態に戻ります）。2.x／3.x 系の間の更新ではパッチは有効なまま残りますが、
  更新で書き換わった側の起動領域の控えが無くなるため、更新後にもう一度
  実行してください。更新を予定している場合は、最終ファームウェア 3.3.0.5 へ
  更新した上で適用してください。
  - 現在 2.5.2 以降（2.x／3.x）：先に 3.3.0.5 へ更新し、その後に適用。
    更新予定がなければ現在のファームウェアにそのまま適用。
  - 現在 1.5.1.26 以前（1.x）：3.3.0.5 までは 3 段階の更新作業が必要な
    ため（手順の詳細は下記リンク）、まず現在のファームウェアに適用して
    保護してください。2.5.2 以降へ更新した時点でパッチは消えるので、
    更新後に再適用してください（3 段階を続けて行う場合は 3.3.0.5 到達後
    に 1 回で足ります）。
    https://drive.google.com/file/d/1C4yG0U92Van-UYk4u5ptwxw-rBgTesYe/view?usp=sharing
  いずれの場合も、ファームウェア更新後は --status で確認し、
  「RESULT: NOT INSTALLED」なら再適用してください。

必要なもの

  - QuikStation で SSH を有効にすること（Web 管理画面：System Settings >
    Options > Diagnostics > Allow Remote Access (SSH)）と、同じ画面から
    ダウンロードした鍵ファイル。鍵は装置ごとに異なります。
  - 装置のアドレス（Web 管理画面を開く時のアドレス）。

Windows（クリック1つ）

  1. 鍵ファイルをこのフォルダ（QS-SecurityFix.bat の隣）に保存します。
  2. QS-SecurityFix.bat をダブルクリックします。
  3. 装置のアドレスを入力し、確認で YES と入力します。
  4. 最後に「RESULT: PROTECTED」と表示されれば完了です。

  確認のみ：  QS-SecurityFix.bat <アドレス> /STATUS
  元に戻す：  QS-SecurityFix.bat <アドレス> /RESTORE
  PC へのインストールはありません。このフォルダ内の plink.exe / pscp.exe
  （PuTTY）を使用し、レジストリは変更しません。Windows 7 以降。

macOS / Linux

  ./qs-secfix-apply.sh <アドレス> <鍵ファイル>             適用
  ./qs-secfix-apply.sh <アドレス> <鍵ファイル> --status    確認のみ
  ./qs-secfix-apply.sh <アドレス> <鍵ファイル> --restore   元に戻す

  手動の場合：
    scp -i <鍵ファイル> qs-secfix.sh vtx@<アドレス>:/tmp/
    ssh -i <鍵ファイル> vtx@<アドレス> "sh /tmp/qs-secfix.sh"

装置のコンソール / USB メモリから

  qs-secfix.sh を FAT32 の USB メモリにコピーし、コンソールに vtx で
  ログイン後、mount -t vfat /dev/disk/by-label/<ラベル> /mnt/usb で
  マウントして
    sh /mnt/usb/qs-secfix.sh
  を実行します。qs-secfix.sh をメモ帳で開かないでください（改行が壊れます）。

適用後

  - 「sh qs-secfix.sh --status」で RESULT: PROTECTED と表示されること。
  - Web 管理画面への接続には TLS 1.2 以上が必要になります。
  - 設定変更で Web サーバーが起動できなかった場合、パッチは自動的に元に
    戻し、その旨を表示します。
  - パッチは再起動後も有効です（2.x/3.x では両方のファームウェア領域に
    保存されます）。ファームウェア更新後は --status で確認し、もう一度
    実行してください（1.x→2.x 以降の更新では消え、2.x/3.x 間では残ります）。
  - 作業後は Web 管理画面で SSH を無効に戻してください。

ファイル

  QS-SecurityFix.bat    Windows 用ランチャー（クリック1つ）
  qs-secfix.sh          パッチ本体（装置上で実行）
  qs-secfix-apply.sh    macOS / Linux 用ランチャー
  plink.exe, pscp.exe   SSH プログラム（PuTTY プロジェクト）、.bat が使用
  qs-keyconv.ps1        鍵ファイルを plink 用に変換
  PUTTY-LICENCE.txt     PuTTY 2 プログラムのライセンス
  README.txt / README-ja.txt    このファイル
  SHA256SUMS            ファイル改ざん確認用のチェックサム
