QNAP NAS: Mehrere Schwachstellen
WID-SEC-2026-0011 · primera publicación 05.01.2026 · actualizado 05.01.2026 · CVSS 7,7
De qué se trata
QNAP ist ein Hersteller von NAS (Network Attached Storage) Lösungen. Ein Angreifer kann diese Schwachstellen ausnutzen, um einen Denial of Service zu verursachen, Informationen offenzulegen und den Speicher zu korrumpieren.
¿En qué condiciones?
El BSI no indica requisitos especiales. Explotable a distancia según el BSI.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- einen Denial of Service zu verursachen
- Informationen offenzulegen
- den Speicher zu korrumpieren
¿Me afecta?
Afectados según el BSI:
- QNAP NAS <QTS 5.2.7.3256 build 20250913
- QNAP NAS <QuTS hero h5.2.7.3256 build 20250913
- QNAP NAS <QuTS hero h5.3.1.3250 build 20250912
- QNAP NAS <QTS 5.2.8.3332 build 20251128
- QNAP NAS <QuTS hero h5.2.8.3321 build 20251117
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- QNAP NAS QTS 5.2.7.3256 build 20250913
- QNAP NAS QuTS hero h5.2.7.3256 build 20250913
- QNAP NAS QuTS hero h5.3.1.3250 build 20250912
- QNAP NAS QTS 5.2.8.3332 build 20251128
- QNAP NAS QuTS hero h5.2.8.3321 build 20251117
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
- Aviso original del BSI (WID)
- QNAP Security Advisory vom 2026-01-04 www.qnap.com
- QNAP Security Advisory vom 2026-01-04 www.qnap.com
CVE: CVE-2025-44013, CVE-2025-47208, CVE-2025-48721, CVE-2025-52426, CVE-2025-52430, CVE-2025-52431, CVE-2025-52863, CVE-2025-52864, CVE-2025-52872, CVE-2025-53405, CVE-2025-53414, CVE-2025-53589, CVE-2025-53590, CVE-2025-53591, CVE-2025-53592, CVE-2025-53593, CVE-2025-53596, CVE-2025-54164, CVE-2025-54165, CVE-2025-54166 …
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.