CVE-2025-66276: Kritisk fejl i QNAP QTS
Kritisk sikkerhedshul i QNAP QTS giver angribere fuld kontrol over NAS-enheden uden login. Opdatér til QTS 5.2.7.3256 eller nyere.
Hvad er det?
CVE-2025-66276 er en kritisk sårbarhed i QTS, styresystemet på QNAPs NAS-enheder, som mange virksomheder bruger til fildeling og backup. NVD har ikke offentliggjort tekniske detaljer om, hvilken type fejl der er tale om, men CVSS-vurderingen viser, at en angriber kan udnytte den over netværket uden at logge ind og uden nogen handling fra en medarbejder. Konsekvensen er fuld adgang til fortrolige data, mulighed for at ændre systemet og risiko for, at NAS’en går ned.
Hvem rammer det?
Sårbarheden findes i QNAP QTS version 4.3.0 og frem til, men ikke inklusive, version 5.2.7.3256. Det rammer altså både ældre og nyere QTS-installationer, som ikke er opdateret. QuTS hero, QNAPs andet styresystem, er ikke påvirket. Danske virksomheder og kommuner, der bruger QNAP NAS til filserver, backup eller videoovervågning, bør kontrollere deres version.
Hvad kan ske?
En angriber, der kan nå NAS-enheden over netværket, for eksempel hvis administrationsgrænsefladen er eksponeret mod internettet eller tilgængelig fra et kompromitteret internt netværk, kan opnå fuld kontrol uden brugernavn eller adgangskode. Det giver mulighed for at læse og stjæle data, kryptere filer med ransomware eller bruge enheden som springbræt videre ind i netværket.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login (PR:N), ingen handling fra en bruger (UI:N) og kan udføres over netværket (AV:N) med lav teknisk kompleksity (AC:L). Alle tre sikkerhedsaspekter, fortrolighed, integritet og tilgængelighed, er ramt i fuld omfang. Der er ikke offentlig oplysning om, at sårbarheden aktivt bliver udnyttet, men den lave angrebskompleksitet gør, at det kan ændre sig hurtigt.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:
- Opdatér QTS til version 5.2.7.3256 build 20250913 eller nyere via QNAPs opdateringssystem.
- Kontrollér, at NAS-enhedens administrationsgrænseflade ikke er tilgængelig direkte fra internettet. Fjern eventuel portforwarding eller UPnP-adgang.
- Aktivér to-faktor-godkendelse og begræns adgang til NAS’en til de medarbejdere og systemer, der har brug for den.
- Gennemgå logs for usædvanlig login-aktivitet eller filændringer i perioden op til opdateringen.
- Sørg for, at der findes en aktuel backup af data på NAS’en, opbevaret et andet sted end på selve enheden.
- Er I i tvivl om, hvordan I sikkert opgraderer eller afskærmer enheden fra internettet, bør I søge hjælp fra en it-sikkerhedsrådgiver.
Opdatér inden for 48 timer
Vi anbefaler, at I opdaterer alle QNAP NAS-enheder med QTS til version 5.2.7.3256 eller nyere så hurtigt som muligt, da sårbarheden kan udnyttes uden login. Det er kun forsvarligt at vente, hvis enheden er fuldt afskærmet fra både internettet og det interne netværk, og selv da bør opdateringen planlægges inden for få dage. Kontakt os, hvis I har brug for hjælp til at vurdere jeres eksponering eller planlægge opdateringen uden driftsafbrydelse.
Tidslinje
Konkrete eksempler
NAS bruges som backup-server for hele kontoret
En dansk håndværksvirksomhed bruger en QNAP NAS til daglig backup af regnskabs- og kundedata og har for nemheds skyld gjort administrationsgrænsefladen tilgængelig fra internettet. En angriber udnytter sårbarheden uden at kende adgangskoder, får fuld kontrol over enheden og krypterer alle backupfiler med ransomware. Virksomheden står uden fungerende backup, samtidig med at de originale filer også er ramt.
Ofte stillede spørgsmål
Hvordan finder vi ud af, hvilken QTS-version vores NAS kører?
Log ind på NAS-enhedens administrationsside og se under Kontrolpanel eller Systemoplysninger, hvor den installerede QTS-version står. Alt under 5.2.7.3256 er sårbart.
Kan vi vente med opdateringen til weekenden?
Hvis NAS-enheden er tilgængelig fra internettet, bør I ikke vente. Er den kun tilgængelig internt og netværket er velafskærmet, kan I planlægge opdateringen inden for få dage, men ikke længere.
Er vi ramt, hvis vi bruger QuTS hero i stedet for QTS?
Nej, QuTS hero er ifølge QNAP ikke påvirket af denne sårbarhed. Sørg dog for at holde også dette styresystem opdateret.
Hvordan tjekker vi, om vores NAS allerede er blevet udnyttet?
Gennemgå login-logs for ukendte eller udenlandske IP-adresser, tjek for uventede administratorbrugere og se efter filer, der er blevet ændret eller krypteret uden forklaring. Er I i tvivl, bør I inddrage en sikkerhedsrådgiver til en gennemgang.
Skal vi anmelde noget, hvis vi finder tegn på misbrug?
Hvis der er tale om et sikkerhedsbrud med persondata, skal det anmeldes til Datatilsynet inden for 72 timer. I bør også overveje at anmelde forholdet til politiet og orientere jeres forsikringsselskab.
Påvirker opdateringen vores data eller drift?
En almindelig firmware-opdatering ændrer normalt ikke jeres data, men vi anbefaler altid at tage en backup, før I opdaterer, og at planlægge opdateringen uden for arbejdstid for at minimere driftsforstyrrelser.
Ramte produkter
Qnap: Qts
≥ 4.3.0, < 5.2.7.3256
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Original NVD-beskrivelse (engelsk)
QuTS hero is not affected.
We have already fixed the vulnerability in the following version:
QTS 5.2.7.3256 build 20250913 and later
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.