CVE-2026-26236: Manglende adgangskontrol i QNAP QuMagie

Sårbarheden CVE-2026-26236 findes i QuMagie, som er QNAP’s applikation til fotohåndtering på NAS-enheder (netværksdrev til fildeling). Fejlen skyldes manglende adgangskontrol, en type sårbarhed kaldet CWE-862, hvor systemet ikke tjekker, om en bruger reelt har ret til at se eller ændre data. En angriber kan udnytte fejlen over netværket uden at logge ind og uden at brugeren foretager sig noget. Det giver adgang til data, som ellers burde være beskyttet, men det giver ikke mulighed for at ændre data eller lukke systemet ned.

Det rammer virksomheder og kommuner, der bruger QNAP NAS-enheder med QuMagie installeret i en version ældre end 2.9.0. QuMagie bruges typisk til at organisere og dele fotos og videoer fra medarbejdere eller borgere, ofte tilgængeligt både internt og via internettet. Er NAS-enheden eksponeret mod internettet, øges risikoen betydeligt, fordi angrebet kan udføres direkte udefra.

En angriber kan tilgå fotos, videoer og tilhørende metadata, som andre brugere har uploadet, uden at have gyldige loginoplysninger. For en dansk virksomhed kan det betyde, at private billeder af medarbejdere, kunder eller borgere kommer i uvedkommendes hænder. Hvis fotos indeholder personoplysninger, kan det udløse en pligt til at anmelde bruddet til Datatilsynet.

CVSS-scoren er 7,5 ud af 10, hvilket er alvorligt. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over netværket med lav kompleksitet. Konsekvensen er begrænset til fortrolighed, altså at data kan læses, men fejlen giver ikke mulighed for at ændre data eller lukke tjenesten ned. Der er ingen tegn på, at sårbarheden aktivt udnyttes, men den er offentligt kendt og let at afprøve.

Følg disse trin for at lukke hullet og begrænse eksponeringen:

1. Opdatér QuMagie til version 2.9.0 eller nyere via QNAP App Center eller QTS/QuTS hero styringspanelet.
2. Tjek, om NAS-enheden eller QuMagie er tilgængelig direkte fra internettet, og fjern denne adgang, hvis det ikke er strengt nødvendigt.
3. Gennemgå adgangslister og delingsindstillinger i QuMagie for at se, om følsomme fotos eller albummer har været delt bredere end tilsigtet.
4. Aktivér to-faktor-godkendelse og opdater adgangskoder for administratorkonti på QNAP-enheden.
5. Log og gennemgå adgangshistorik for usædvanlig aktivitet i perioden før opdateringen.
6. Er I i tvivl om, hvorvidt jeres opsætning er sårbar, eller om data allerede er tilgået uretmæssigt, bør I kontakte en sikkerhedsrådgiver for en nærmere gennemgang.