CVE-2026-26240: Kritisk fejl i QNAP File Station
Kritisk sårbarhed i QNAP File Station kan lade angribere ændre hukommelse eller crashe systemet uden login. Opdatér til 5.5.6.5243.
Hvad er det?
CVE-2026-26240 er en bufferoverløbsfejl i QNAP File Station 5, det filhåndteringsprogram der følger med QNAP’s NAS-enheder (netværksdrev til fildeling og backup). Ved et bufferoverløb sender man mere data til et hukommelsesområde, end det er beregnet til, hvilket kan overskrive tilstødende hukommelse. En angriber kan udnytte fejlen over netværket til at ændre systemets hukommelse eller få File Station-processen til at gå ned. Sårbarheden kræver hverken login eller nogen handling fra en bruger, og den kan udløses med et simpelt netværkskald.
Hvem rammer det?
Sårbarheden rammer QNAP File Station i versionerne fra og med 5.5.6.4691 til, men ikke inklusive, 5.5.6.5243. Det drejer sig om QNAP NAS-enheder, der bruges til fildeling, backup og fjernadgang til filer, og som er tilgængelige fra internettet eller det interne netværk. Mange danske virksomheder bruger QNAP-enheder som billigt alternativ til dyrere serverløsninger til backup og fildeling, ofte uden at have et it-team, der løbende følger med i firmwareopdateringer.
Hvad kan ske?
En angriber, der kan nå File Station over netværket, kan udnytte fejlen til at destabilisere tjenesten eller ændre data i hukommelsen, hvilket i værste fald kan bane vejen for yderligere angreb, herunder kørsel af vilkårlig kode. Er NAS-enheden eksponeret direkte mod internettet, kan det ske uden at nogen i virksomheden lægger mærke til noget, før filer bliver utilgængelige eller systemet går ned. For en virksomhed, hvor NAS-enheden også rummer backup, kan konsekvensen være tab af adgang til data, netop når man har brug for dem mest.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over netværket med lav kompleksitet, altså uden særlige forudsætninger hos angriberen. Fortrolighed påvirkes ikke direkte, men både integritet og tilgængelighed er vurderet til høj påvirkning, hvilket betyder, at data kan ændres, og systemet kan bringes ned. Der er ikke rapporteret aktiv udnyttelse af sårbarheden, men den lave angrebskompleksitet og manglen på krav om login gør den attraktiv at udnytte, så snart detaljer bliver kendte.
Hvad gør jeg nu?
Følgende trin bør gennemføres i denne rækkefølge:
- Opdatér QNAP File Station til version 5.5.6.5243 eller nyere. Det lukker den sårbarhed, der udnyttes.
- Tjek om jeres NAS-enhed er tilgængelig direkte fra internettet, og fjern eventuel direkte adgang, hvis det ikke er nødvendigt.
- Gennemgå logfiler for File Station for usædvanlig aktivitet, herunder gentagne fejlede kald eller uventede nedbrud, i perioden op til opdateringen.
- Aktivér automatiske firmwareopdateringer på QNAP-enheden, så fremtidige sikkerhedsopdateringer installeres hurtigere.
- Sørg for, at der findes en fungerende backup af data uden for NAS-enheden, i tilfælde af at systemet bliver ustabilt.
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan verificere, om jeres NAS-enhed er opdateret, eller hvis I finder tegn på uautoriseret adgang.
Opdatér inden for få dage
Vi anbefaler, at opdateringen til 5.5.6.5243 installeres hurtigst muligt, da sårbarheden kan udnyttes uden login og over netværket. Det er ikke forsvarligt at vente, hvis NAS-enheden er tilgængelig fra internettet. Er enheden kun tilgængelig på et lukket internt netværk uden ekstern adgang, kan opdateringen planlægges til næste servicevindue, men bør ikke udskydes længere end en uge.
Tidslinje
Konkrete eksempler
NAS-enhed eksponeret mod internettet
En mindre dansk produktionsvirksomhed bruger en QNAP NAS til fildeling mellem medarbejdere på flere lokationer og har derfor åbnet File Station mod internettet. Uden opdateringen kan en angriber udefra sende specialdannede kald til File Station og få tjenesten til at gå ned, hvilket standser adgangen til delte tegninger og ordredokumenter midt i en arbejdsdag.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores QNAP-enhed er ramt?
Log ind på QNAP-administrationen og tjek versionsnummeret på File Station under App Center eller Kontrolpanel. Er versionen mellem 5.5.6.4691 og 5.5.6.5243, er enheden sårbar.
Kan vi vente med opdateringen til weekenden?
Er NAS-enheden tilgængelig fra internettet, bør opdateringen ske hurtigere end det. Er den kun tilgængelig internt, kan man vente til næste planlagte servicevindue, dog ikke længere end en uges tid.
Kræver angrebet, at nogen klikker på noget eller logger ind?
Nej. Sårbarheden kræver hverken login eller brugerhandling. Den kan udløses direkte over netværket mod File Station-tjenesten.
Er sårbarheden udnyttet i praksis?
Der er ikke offentligt kendte tilfælde af udnyttelse på offentliggørelsestidspunktet. Det ændrer ikke ved, at fejlen bør lukkes, da lav angrebskompleksitet gør den til et oplagt mål.
Skal vi anmelde noget til myndighederne?
Kun hvis I finder konkrete tegn på, at sårbarheden er blevet udnyttet, og personoplysninger eller kritiske systemer er berørt. En opdatering uden fund af misbrug kræver ikke anmeldelse.
Påvirker opdateringen adgangen til vores filer under installationen?
File Station kan være utilgængelig kortvarigt under opdateringen. Planlæg derfor opdateringen uden for spidsbelastning, men undlad ikke at gennemføre den.
Ramte produkter
Qnap: File Station
≥ 5.5.6.4691, < 5.5.6.5243
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A buffer overflow vulnerability has been reported to affect File Station 5. The remote attackers can then exploit the vulnerability to modify memory or crash processes.
We have already fixed the vulnerability in the following version:
File Station 5 5.5.6.5243 and later
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.