CVE-2026-26237: Autorisationsfejl i QNAP QuMagie
Sårbarhed i QNAP QuMagie giver angribere adgang til private data uden login. Opdatér til version 2.9.0.
Hvad er det?
CVE-2026-26237 er en fejl i adgangskontrollen i QNAP QuMagie, et program til billed- og videohåndtering på QNAP NAS-enheder (netværksdrev). Fejlen betyder, at systemet ikke tjekker ordentligt, om en bruger har ret til at se bestemte data. En angriber kan derfor hente billeder, videoer eller anden information fra QuMagie uden at være logget ind eller have nogen rettigheder overhovedet. Fejlen ligger i selve autorisationslogikken (CWE-862, manglende autorisation), ikke i login-systemet. Det betyder, at selv brugere uden konto kan udnytte fejlen over netværket.
Hvem rammer det?
Alle virksomheder og private, der kører QNAP QuMagie i version ældre end 2.9.0 på deres NAS-enhed, er ramt. QuMagie bruges typisk til at organisere og dele billeder og videoer, ofte fra kameraer, telefoner eller overvågningssystemer, der er tilsluttet et QNAP-drev. Det gælder både NAS-enheder, der står lokalt på kontoret, og enheder, der er tilgængelige fra internettet via fjernadgang.
Hvad kan ske?
En angriber, der finder en sårbar QuMagie-installation på internettet, kan hente data uden at logge ind. I praksis betyder det, at billeder, videoer og eventuelle metadata (oplysninger om filer, som placering eller tidspunkt) kan blive tilgået af udenforstående. For en dansk virksomhed kan det betyde, at overvågningsbilleder, personfotos fra HR eller marketingmateriale bliver eksponeret. Der er ikke risiko for, at data bliver ændret eller slettet, kun at de bliver læst uautoriseret.
Hvor alvorligt er det?
CVSS-score er 7,5 ud af 10, hvilket er alvorligt. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over netværket med lav kompleksitet. Det gør fejlen let at udnytte for en angriber, der blot skal finde en sårbar enhed. Der er ikke rapporteret aktiv udnyttelse i det åbne, men fejlen er offentligt beskrevet, og det tager typisk ikke lang tid, før den bliver udnyttet automatisk af scanninger på internettet.
Hvad gør jeg nu?
Opdatering er den eneste rigtige løsning her, da der ikke findes en anden afhjælpning.
- Opdatér QuMagie til version 2.9.0 eller nyere via QNAP App Center på jeres NAS-enhed.
- Tjek, om jeres NAS er tilgængelig direkte fra internettet. Er det tilfældet, bør fjernadgang begrænses eller lukkes, indtil opdateringen er installeret.
- Gennemgå adgangslogs for QuMagie for at se, om der har været usædvanlig aktivitet fra ukendte IP-adresser før opdateringen.
- Sørg for, at alle QNAP-apps og selve NAS-styresystemet (QTS eller QuTS hero) er opdateret til nyeste version generelt.
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om jeres NAS har været eksponeret, eller hvis I har brug for hjælp til at gennemgå logs.
Opdatér inden for få dage
Vi anbefaler, at I opdaterer QuMagie til version 2.9.0 hurtigst muligt, især hvis NAS-enheden er tilgængelig fra internettet. Er enheden kun tilgængelig internt på et lukket netværk uden fjernadgang, er risikoen lavere, og opdateringen kan planlægges inden for normal driftsvedligeholdelse. Vi anbefaler generelt, at QNAP-enheder ikke eksponeres direkte mod internettet uden yderligere beskyttelse som VPN.
Tidslinje
Konkrete eksempler
Overvågningsbilleder eksponeret fra kontor-NAS
En mindre dansk virksomhed bruger en QNAP NAS med QuMagie til at opbevare billeder fra kontorets overvågningskameraer og har fjernadgang åben for medarbejdere. En angriber, der scanner internettet for sårbare QuMagie-installationer, finder enheden og henter billeder uden at logge ind. Virksomheden opdager først problemet, da de gennemgår logs efter offentliggørelsen af sårbarheden.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores QuMagie er ramt?
Log ind på jeres QNAP NAS, åbn App Center, og find QuMagie. Versionsnummeret vises i appens detaljer. Er det lavere end 2.9.0, er I ramt.
Kan vi vente til den næste planlagte opdatering?
Det afhænger af, om NAS-enheden er tilgængelig fra internettet. Er den det, bør opdateringen ske hurtigst muligt uden for normal drift. Er den kun tilgængelig internt på et lukket netværk, kan opdateringen indgå i næste planlagte vedligeholdelse.
Kræver angrebet, at en medarbejder klikker på noget?
Nej. Sårbarheden kræver ingen brugerhandling og intet login. Angriberen kan tilgå data direkte via netværket.
Er der tegn på, at fejlen bliver udnyttet aktivt?
Der er ikke rapporteret aktiv udnyttelse på offentliggørelsesdatoen, men fejlen er offentligt beskrevet, og lignende sårbarheder i QNAP-produkter er tidligere blevet udnyttet hurtigt efter offentliggørelse.
Skal vi anmelde dette som en sikkerhedshændelse?
Kun hvis I finder tegn på, at data faktisk er blevet tilgået uautoriseret, for eksempel via logs. Ren opdatering uden fund af misbrug kræver ikke anmeldelse.
Påvirker det andre QNAP-programmer end QuMagie?
Nej, denne konkrete sårbarhed er afgrænset til QuMagie. Andre QNAP-apps kan have egne, separate sårbarheder, som skal tjekkes hver for sig.
Ramte produkter
Qnap: Qumagie
< 2.9.0
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A missing authorization vulnerability has been reported to affect QuMagie. The remote attackers can then exploit the vulnerability to access unauthorized data or perform unauthorized actions.
We have already fixed the vulnerability in the following version:
QuMagie 2.9.0 and later
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.