QNAP NAS: Mehrere Schwachstellen
WID-SEC-2026-1966 · primera publicación 17.06.2026 · actualizado 08.07.2026 · CVSS 7,2
De qué se trata
QNAP ist ein Hersteller von NAS (Network Attached Storage) Lösungen. Ein entfernter, authentisierter oder anonymer Angreifer kann mehrere Schwachstellen in QNAP NAS ausnutzen, um sich erhöhte Berechtigungen zu verschaffen, um Sicherheitsmechanismen zu umgehen, um einen Denial of Service Zustand herbeizuführen, um beliebige Befehle auszuführen, um Informationen offenzulegen oder nicht näher spezifizierte Auswirkungen zu erzielen.
¿En qué condiciones?
A través de la red, pero solo con un acceso válido (requiere iniciar sesión), por ejemplo con credenciales robadas o desde dentro.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- sich erhöhte Berechtigungen zu verschaffen
- Sicherheitsmechanismen zu umgehen
- einen Denial of Service Zustand herbeizuführen
- beliebige Befehle auszuführen
- Informationen offenzulegen oder nicht näher spezifizierte Auswirkungen zu erzielen
¿Me afecta?
Afectados según el BSI:
- QNAP NAS QVP <2.8.0
- QNAP NAS QuTS cloud <C5.2.9
- QNAP NAS QuTS hero <h5.2.9
- QNAP NAS QTS <5.2.9.3499
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- QNAP NAS QVP 2.8.0
- QNAP NAS QuTS cloud C5.2.9
- QNAP NAS QuTS hero h5.2.9
- QNAP NAS QTS 5.2.9.3499
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
CVE: CVE-2025-59382, CVE-2025-62858, CVE-2025-66273, CVE-2025-66279, CVE-2025-66280, CVE-2025-66281, CVE-2025-68405, CVE-2026-22893, CVE-2026-22899, CVE-2026-24720, CVE-2026-24724, CVE-2026-26239, CVE-2026-26240, CVE-2026-26241
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.