CVE-2026-24716: Fejl i QNAP QTS og QuTS hero kan give driftsstop
Fejl i QNAP QTS og QuTS hero kan lade en administrator-konto lamme et NAS-system. Opdatér styresystemet.
Hvad er det?
CVE-2026-24716 er en sårbarhed i styresystemerne QTS og QuTS hero fra QNAP, som driver mange netværksdrev (NAS-enheder) i danske virksomheder. Fejltypen kaldes en null pointer dereference: softwaren forsøger at tilgå en hukommelsesadresse, der er tom, hvilket får programmet til at gå ned. En angriber, der allerede har fået adgang til en administrator-konto på systemet, kan udnytte fejlen over netværket til at fremkalde et denial-of-service-angreb, altså få systemet til at stoppe med at fungere.
Hvem rammer det?
Sårbarheden findes i QNAP QTS fra version 5.2.0.2737 til før 5.2.9.3492, samt QuTS hero i versionerne h5.0.0 til før h5.2.9.3499, h5.3.0.3115 til før h5.3.4.3500 og h6.0.0.3324 til før h6.0.0.3459. Det rammer virksomheder og kommuner, der bruger QNAP NAS-enheder til fildeling, backup eller lagring, uanset størrelse på organisationen.
Hvad kan ske?
Hvis en angriber har fået fat i en administrator-konto på NAS-enheden, for eksempel via svag adgangskode eller genbrug af login fra et andet sted, kan de bruge fejlen til at få systemet til at gå ned. Det betyder driftsstop for filadgang og backup, indtil enheden genstartes eller genoprettes. For en dansk virksomhed kan det stoppe adgangen til delte dokumenter eller lagrede sikkerhedskopier midt i en arbejdsdag.
Hvor alvorligt er det?
CVSS-scoren er 7,2 ud af 10, hvilket er vurderet alvorligt. Angrebet kræver ingen handling fra en bruger og kan udføres over netværket, men det kræver, at angriberen allerede har administrator-rettigheder på systemet. Det er den afgørende begrænsning: en almindelig ekstern angriber uden konto kan ikke udnytte fejlen direkte. Der er ikke rapporteret aktiv udnyttelse af sårbarheden, men QNAP har allerede rettet fejlen.
Hvad gør jeg nu?
Sådan lukker I hullet og reducerer risikoen for, at en kompromitteret administrator-konto kan bruges til at lamme jeres NAS-enhed:
- Opdatér til QTS 5.2.9.3492 build 20260507 eller nyere, eller QuTS hero h5.2.9.3499, h5.3.4.3500 eller h6.0.0.3459 build 20260409 eller nyere, afhængigt af hvilken version I kører.
- Gennemgå, hvem der har administrator-adgang til NAS-enheden, og fjern konti, der ikke længere er i brug.
- Aktivér to-faktor-godkendelse på alle administrator-konti, hvis det ikke allerede er sat op.
- Sørg for, at NAS-enhedens administrationsgrænseflade ikke er tilgængelig direkte fra internettet.
- Kontrollér, at automatiske sikkerhedskopier af data på NAS-enheden fungerer, som en ekstra sikring mod driftsstop.
- Har I ikke ressourcer eller erfaring til selv at gennemføre opdateringen eller adgangsgennemgangen, bør I hente hjælp fra en it-leverandør eller sikkerhedskonsulent.
Opdatér inden for 2 uger
Vi anbefaler, at I planlægger opdateringen af QTS eller QuTS hero som en del af jeres almindelige vedligeholdelsesrutine, da udnyttelse kræver en allerede kompromitteret administrator-konto. Brug samtidig anledningen til at gennemgå administrator-adgange og aktivere to-faktor-godkendelse. Det er i orden at vente til næste planlagte servicevindue, så længe det sker inden for et par uger, og NAS-enhedens administration ikke er eksponeret på internettet.
Tidslinje
Konkrete eksempler
Kompromitteret administrator-konto lammer filserver
En medarbejder i en mindre dansk produktionsvirksomhed genbruger sin administrator-adgangskode til NAS-enheden fra en anden tjeneste, der bliver lækket i et databrud. En angriber logger ind som administrator og udnytter fejlen til at få NAS-enheden til at gå ned, hvilket stopper adgangen til delte produktionsfiler og backup midt på en arbejdsdag.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører QNAP QTS eller QuTS hero i en af de nævnte versionsintervaller. Log ind på NAS-enhedens administrationsgrænseflade og se den installerede firmwareversion under systemoplysninger.
Kan angrebet ske uden login?
Nej. Sårbarheden kræver, at angriberen allerede har fået fat i en administrator-konto på systemet. Uden en gyldig administrator-adgang kan fejlen ikke udnyttes.
Kan vi vente til weekenden med at opdatere?
Ja, det er der belæg for, så længe jeres NAS-administration ikke er tilgængelig direkte fra internettet og I ikke har tegn på kompromitterede administrator-konti. Vi anbefaler dog ikke at vente længere end et par uger.
Hvordan opdaterer vi QNAP-systemet?
Log ind på NAS-enheden som administrator, gå til Kontrolpanel og Firmwareopdatering, og installér den nyeste version for jeres model. Tag en sikkerhedskopi af konfigurationen, inden I opdaterer.
Skal vi anmelde sårbarheden til myndighederne?
Der er ingen anmeldelsespligt for selve sårbarheden. Hvis I oplever et faktisk driftsstop eller databrud som følge af udnyttelse, kan det udløse anmeldelsespligt efter databeskyttelsesreglerne, hvis persondata er involveret.
Hvad gør vi, hvis vi ikke kan opdatere med det samme?
Sørg for, at NAS-enhedens administrationsgrænseflade ikke er tilgængelig fra internettet, gennemgå administrator-konti, og aktivér to-faktor-godkendelse, indtil opdateringen kan gennemføres.
Ramte produkter
Qnap: Qts
≥ 5.2.0.2737, < 5.2.9.3492
Qnap: Quts Hero
≥ h5.0.0, < h5.2.9.3499
Qnap: Quts Hero
≥ h5.3.0.3115, < h5.3.4.3500
Qnap: Quts Hero
≥ h6.0.0.3324, < h6.0.0.3459
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A NULL pointer dereference vulnerability has been reported to affect several QNAP operating system versions. If a remote attacker gains an administrator account, they can then exploit the vulnerability to launch a denial-of-service (DoS) attack.
We have already fixed the vulnerability in the following versions:
QTS 5.2.9.3492 build 20260507 and later
QuTS hero h5.2.9.3499 build 20260514 and later
QuTS hero h5.3.4.3500 build 20260520 and later
QuTS hero h6.0.0.3459 build 20260409 and later
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.