CVE-2026-22893: Kommandoinjektion i QNAP QTS og QuTS hero
Sårbarhed i QNAP QTS og QuTS hero lader en administrator-konto køre vilkårlige kommandoer på systemet. Opdatér NAS-enheden til nyeste firmware.
Hvad er det?
CVE-2026-22893 er en kommandoinjektion, en fejltype hvor systemet ved en fejl lader en bruger sende operativsystem-kommandoer ind gennem et felt, der kun burde modtage almindelige data. Fejlen findes i flere versioner af QNAP’s styresystemer QTS og QuTS hero, som kører på QNAP’s NAS-enheder, netværksdiske der bruges til fildeling og backup i mange danske virksomheder. En angriber, der allerede har fået fat i en administrator-konto til NAS-enheden, kan udnytte fejlen til at afvikle vilkårlige kommandoer med systemets rettigheder.
Hvem rammer det?
Det rammer virksomheder, der kører QNAP NAS-enheder med QTS version 5.2.0.2737 til under 5.2.9.3410, eller QuTS hero version h5.2.0.2737 til under h5.2.9.3410, h5.3.0.3115 til under h5.3.4.3500, eller h6.0.0.3324 til under h6.0.0.3459. Det gælder typisk mindre og mellemstore virksomheder samt kommunale institutioner, der bruger QNAP-enheder til fildeling, backup eller videoovervågning.
Hvad kan ske?
Hvis en angriber først har fået adgang til en administrator-konto, for eksempel via et genbrugt eller svagt kodeord, kan de bruge fejlen til at få fuld kontrol over NAS-enheden. Det betyder adgang til alle filer på enheden, mulighed for at installere skadelig kode, og risiko for at bruge enheden som springbræt videre ind i virksomhedens netværk. For en dansk virksomhed kan det i praksis betyde tab af backupdata, lækage af kundeoplysninger eller stilstand, mens systemet undersøges og genopbygges.
Hvor alvorligt er det?
CVSS-scoren er 7,2 ud af 10, hvilket er alvorligt. Angrebet kræver ikke, at brugeren foretager sig noget, og kan udføres over netværket, men det kræver, at angriberen i forvejen har administrator-rettigheder på NAS-enheden. Det gør fejlen alvorlig, men den forudsætter, at et andet led allerede er brudt, for eksempel svage kodeord eller en lækket adgangskode. Der er ikke rapporteret om aktiv udnyttelse af sårbarheden på offentliggørelsesdatoen.
Hvad gør jeg nu?
Følgende trin lukker hullet og reducerer risikoen for, at det bliver udnyttet:
- Opdatér QTS til version 5.2.9.3410 build 20260214 eller nyere, eller QuTS hero til h5.2.9.3410, h5.3.4.3500 eller h6.0.0.3459 (alt efter jeres nuværende gren) via QNAP’s firmwareopdatering.
- Gennemgå alle administrator-konti på NAS-enheden og skift kodeord, hvis der er mistanke om genbrug eller svage adgangskoder.
- Aktivér totrinsbekræftelse for administrator-login, hvis det ikke allerede er sat op.
- Begræns adgangen til NAS-enhedens administrationsgrænseflade, så den ikke er tilgængelig direkte fra internettet.
- Gennemgå logfiler for usædvanlig administratoraktivitet i perioden før opdateringen.
- Kontakt en it-sikkerhedspartner, hvis I ikke selv har ressourcer til at verificere firmwareversion og konfiguration på tværs af flere NAS-enheder.
Opdatér inden for en uge
Vi anbefaler, at I opdaterer NAS-enhedens firmware til den rettede version snarest muligt og samtidig får styr på administrator-kodeordene, da fejlen kun kan udnyttes, hvis en administrator-konto allerede er kompromitteret. Det er i orden at planlægge opdateringen til et vedligeholdelsesvindue inden for de næste dage, så længe adgangen til administrationsgrænsefladen i mellemtiden er begrænset til betroede net. Vi anbefaler ikke at vente længere end en uge, da NAS-enheder ofte er eksponeret mod internettet og et attraktivt mål.
Tidslinje
Konkrete eksempler
Kompromitteret administrator-konto på NAS-backup
En mindre dansk produktionsvirksomhed bruger en QNAP NAS til daglig backup af regnskabssystemet. En medarbejder genbruger sit administrator-kodeord fra en anden tjeneste, der bliver lækket i et datalæk. En angriber logger ind som administrator og udnytter CVE-2026-22893 til at afvikle kommandoer, der krypterer backupdata, hvilket forsinker virksomhedens genopretning efter et efterfølgende ransomware-angreb mod hovedserveren.
Ofte stillede spørgsmål
Er vores virksomhed ramt?
I er ramt, hvis I har en QNAP NAS-enhed med QTS version 5.2.0.2737 til under 5.2.9.3410, eller QuTS hero i en af de tre angivne versionsintervaller. Tjek den installerede firmwareversion under systemindstillinger i QNAP’s administrationspanel.
Hvordan tjekker vi, om vi bruger en sårbar version?
Log ind på QNAP-enhedens administrationsgrænseflade og find firmwareversionen under Kontrolpanel, Systemoplysninger. Sammenlign versionen med de sårbare intervaller nævnt ovenfor.
Kan vi vente med opdateringen til weekenden?
Det er acceptabelt, hvis I samtidig sikrer, at administrationsgrænsefladen ikke er tilgængelig fra internettet, og at administrator-kodeord er stærke og unikke. Er enheden eksponeret direkte mod internettet, bør opdateringen fremrykkes.
Kræver angrebet, at nogen klikker på noget?
Nej. Der kræves ingen brugerhandling, men angriberen skal i forvejen have fået fat i en administrator-konto til NAS-enheden, før fejlen kan udnyttes.
Skal vi anmelde hændelsen til myndighederne?
En anmeldelse er kun relevant, hvis I konstaterer, at en administrator-konto faktisk er blevet misbrugt, og at persondata er blevet kompromitteret. Ren opdatering af firmware uden tegn på misbrug udløser ikke en anmeldelsespligt.
Er der offentligt kendt kode, der udnytter fejlen?
Der er ikke rapporteret om offentligt tilgængelig udnyttelseskode eller aktiv udnyttelse af CVE-2026-22893 på offentliggørelsesdatoen.
Ramte produkter
Qnap: Qts
≥ 5.2.0.2737, < 5.2.9.3410
Qnap: Quts Hero
≥ h5.2.0.2737, < h5.2.9.3410
Qnap: Quts Hero
≥ h5.3.0.3115, < h5.3.4.3500
Qnap: Quts Hero
≥ h6.0.0.3324, < h6.0.0.3459
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A command injection vulnerability has been reported to affect several QNAP operating system versions. If a remote attacker gains an administrator account, they can then exploit the vulnerability to execute arbitrary commands.
We have already fixed the vulnerability in the following versions:
QTS 5.2.9.3410 build 20260214 and later
QuTS hero h5.2.9.3410 build 20260214 and later
QuTS hero h5.3.4.3500 build 20260520 and later
QuTS hero h6.0.0.3459 build 20260409 and later
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.