CVE-2026-26236: Sårbarhed i QNAP QuMagie

CVE-2026-26236 er en sikkerhedsfejl i QNAP’s fotostyringsprogram QuMagie, som kører på QNAP NAS-enheder (netværkstilsluttet lagerplads). Fejlen betyder, at programmet ikke tjekker ordentligt, om en bruger har lov til at se eller ændre data, før det giver adgang. Det kaldes en manglende autorisationskontrol. En angriber kan udnytte dette over internettet uden at kende et brugernavn eller en adgangskode – og uden at du som bruger behøver at gøre noget forkert. Resultatet er, at uvedkommende potentielt kan læse dine billeder og filer gemt i QuMagie.

Sårbarheden rammer dig, hvis du bruger en QNAP NAS-enhed med QuMagie installeret i en version ældre end 2.9.0 – og særligt hvis din enhed er tilgængelig fra internettet. Det er typisk:

• Små og mellemstore virksomheder der bruger QNAP NAS til fildeling og backup
• Virksomheder der har QuMagie aktiveret som billedarkiv eller mediebibliotek
• Enheder der er eksponeret direkte mod internettet via port-forwarding eller uden VPN-beskyttelse

Har du slukket for adgang udefra eller ikke bruger QuMagie, er risikoen betydeligt lavere.

En angriber der udnytter fejlen kan:

• Læse og hente filer og billeder gemt i QuMagie uden at logge ind
• Tilgå fortrolige dokumenter eller personoplysninger der er arkiveret på enheden
• Potentielt udføre uautoriserede handlinger i programmet, fx slette eller flytte indhold

Angrebet kræver ingen særlige tekniske færdigheder og kan udføres automatisk via internettet. Konsekvensen kan være et databrud (uautoriseret adgang til fortrolige oplysninger), som du kan have pligt til at indberette til Datatilsynet under GDPR.

Sårbarheden er vurderet til CVSS 7.5 – Alvorlig. Den scorer højt fordi:

• Angrebet kan udføres over nettet uden login og uden brugerinteraktion
• Kompleksiteten er lav – det er relativt let at udnytte
• Fortroligheden af dine data er i høj risiko

Til gengæld kan angriberen ikke direkte ændre eller slette data (integritet og tilgængelighed er ikke berørt ifølge CVSS-vurderingen), men adgangen til fortrolige oplysninger alene er alvorlig nok til at kræve hurtig handling. QNAP-enheder er historisk et hyppigt mål for angreb.

Gør følgende så hurtigt som muligt – helst inden for de næste par dage:

1. Opdater QuMagie til version 2.9.0 eller nyere. Log ind på din QNAP NAS, gå til App Center, find QuMagie og klik Opdater.
2. Tjek om din NAS er tilgængelig fra internettet. Gå til QNAP’s kontrolpanel og se under ‘Netværk og filservice’. Deaktiver direkte internetadgang hvis det ikke er nødvendigt.
3. Brug VPN i stedet for direkte adgang. Hvis du har brug for fjernadgang, bør det ske via en VPN-forbindelse frem for åbne porte mod internettet.
4. Gennemgå adgangslogge. Tjek om der har været mistænkelig aktivitet i QuMagie. QNAP-logge findes under Kontrolpanel → Log-center.
5. Vurder databrudspligt. Hvis du har grund til at tro, at uvedkommende har haft adgang til personoplysninger, skal du overveje om det skal indberettes til Datatilsynet inden for 72 timer.