CVE-2026-24719: Kommandoinjektion i QNAP QTS og QuTS hero

Sårbarheden CVE-2026-24719 er en kommandoinjektion (CWE-78) i styresystemet på QNAP-netværksdrev. Fejlen opstår, fordi systemet ikke renser input godt nok, før det sendes videre til styresystemets kommandolinje. En angriber, der allerede har fået fat i et administratorlogin, kan udnytte fejlen til at få QNAP-enheden til at udføre kommandoer, som ikke er en del af den tilsigtede funktion. Det giver reelt fuld kontrol over enhedens styresystem, uden om de normale grænser for, hvad en administratorbruger må gøre i grænsefladen.

Sårbarheden rammer QNAP-enheder med QTS fra version 5.2.0.2737 til og med version før 5.2.9.3492, samt QuTS hero fra version h5.0.0 til og med version før h5.2.9.3499. Det er typisk NAS-enheder (netværksdrev), som danske virksomheder og kommuner bruger til fildeling, backup og lagring. Alle enheder med disse versioner er ramt, uanset størrelse eller branche.

Hvis en angriber allerede har adgang til en administratorkonto, for eksempel via et genbrugt eller lækket kodeord, kan de bruge sårbarheden til at køre egne kommandoer direkte på NAS-enhedens styresystem. Det kan bruges til at installere skadelig kode, læse eller slette data, oprette bagdøre eller sprede sig videre til andre systemer på netværket. For en dansk virksomhed betyder det, at backup og forretningskritiske filer på NAS-enheden kan blive kompromitteret eller krypteret, selv om den ellers har fungeret som en isoleret lagerenhed.

CVSS-scoren er 7,2 ud af 10, som er alvorlig. Angrebet kræver ikke, at brugeren klikker på noget, og det kan udføres over netværket med lav teknisk kompleksitet. Til gengæld kræver det, at angriberen allerede har administratoradgang til enheden. Det betyder, at sårbarheden ikke i sig selv giver adgang udefra, men den gør stor skade, hvis en administratorkonto først er kompromitteret, for eksempel via svage kodeord eller genbrug af login fra andre lækkede tjenester. Der er ikke rapporteret om aktiv udnyttelse på offentliggørelsestidspunktet.

Følg punkterne nedenfor for at lukke hullet og reducere risikoen for, at det bliver udnyttet.

1. Opdatér QTS til version 5.2.9.3492 eller nyere, og QuTS hero til version h5.2.9.3499 eller nyere. Det lukker selve sårbarheden.
2. Gennemgå alle administratorkonti på NAS-enheden, og skift kodeord, hvis de er svage, genbrugte eller ikke ændret længe.
3. Aktivér totrinsbekræftelse på administratorkonti, hvis QNAP-enheden understøtter det.
4. Begræns, hvilke IP-adresser der kan tilgå administrationsgrænsefladen, og undgå at eksponere NAS-administration direkte mod internettet.
5. Tjek adgangslogs for usædvanlig aktivitet på administratorkonti forud for opdateringen, hvis I mistænker, at en konto allerede er kompromitteret.
6. Kontakt en it-sikkerhedsrådgiver, hvis I finder tegn på uautoriseret adgang, eller hvis I ikke selv kan verificere, at opdateringen er gennemført korrekt på alle enheder.