QNAP NAS: Mehrere Schwachstellen
WID-SEC-2026-1966 · première publication 17.06.2026 · mise à jour 08.07.2026 · CVSS 7,2
De quoi il s’agit
QNAP ist ein Hersteller von NAS (Network Attached Storage) Lösungen. Ein entfernter, authentisierter oder anonymer Angreifer kann mehrere Schwachstellen in QNAP NAS ausnutzen, um sich erhöhte Berechtigungen zu verschaffen, um Sicherheitsmechanismen zu umgehen, um einen Denial of Service Zustand herbeizuführen, um beliebige Befehle auszuführen, um Informationen offenzulegen oder nicht näher spezifizierte Auswirkungen zu erzielen.
Dans quelles conditions ?
Par le réseau, mais uniquement avec un accès valide (authentification requise), par exemple avec des identifiants volés ou en interne.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- sich erhöhte Berechtigungen zu verschaffen
- Sicherheitsmechanismen zu umgehen
- einen Denial of Service Zustand herbeizuführen
- beliebige Befehle auszuführen
- Informationen offenzulegen oder nicht näher spezifizierte Auswirkungen zu erzielen
Suis-je concerné ?
Concernés selon le BSI :
- QNAP NAS QVP <2.8.0
- QNAP NAS QuTS cloud <C5.2.9
- QNAP NAS QuTS hero <h5.2.9
- QNAP NAS QTS <5.2.9.3499
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- QNAP NAS QVP 2.8.0
- QNAP NAS QuTS cloud C5.2.9
- QNAP NAS QuTS hero h5.2.9
- QNAP NAS QTS 5.2.9.3499
La faille est-elle déjà exploitée ?
Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.
Informations et sources
CVE: CVE-2025-59382, CVE-2025-62858, CVE-2025-66273, CVE-2025-66279, CVE-2025-66280, CVE-2025-66281, CVE-2025-68405, CVE-2026-22893, CVE-2026-22899, CVE-2026-24720, CVE-2026-24724, CVE-2026-26239, CVE-2026-26240, CVE-2026-26241
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.