QNAP behebt schwerwiegende Sicherheitslücken in NAS-Systemen

Der Netzwerkspeicher-Hersteller QNAP hat neue Sicherheitsupdates veröffentlicht, um mehrere kritische Schwachstellen in seiner NAS-Software zu schließen. Ohne diese Updates könnten Angreifer Schadcode auf betroffenen Geräten ausführen und im schlimmsten Fall vollständigen Zugriff erhalten.

Mehrere entdeckte Sicherheitsprobleme betreffen verschiedene Komponenten des QNAP-Ökosystems. Obwohl aktuell keine bekannten Angriffe gemeldet wurden, empfiehlt der Hersteller dringend, alle Systeme und installierten Anwendungen zeitnah zu aktualisieren, um potenzielle Risiken zu vermeiden.

Laut den offiziellen Sicherheitshinweisen von QNAP sind unter anderem folgende Anwendungen betroffen:

• Media Streaming Add-on

• QuFTP Service

• QuNetSwitch (ADRA NDR)

• QuRouter

• QVR Pro

Administratoren sollten prüfen, ob diese Module installiert sind und ob die aktuellsten Versionen verwendet werden.

Besonders kritisch stuft QNAP eine Schwachstelle mit der Kennung CVE-2026-22898 in der Videoüberwachungssoftware QVR Pro ein. Ursache ist eine fehlende Authentifizierung innerhalb einer sensiblen Funktion, wodurch entfernte Angreifer Zugriff auf das System erlangen könnten.

Die Sicherheitslücke wurde laut Hersteller mit Version QVR Pro 2.7.4.1485 geschlossen. Nutzer dieser Software sollten das Update umgehend installieren.

Auch die Netzwerküberwachungslösung QuNetSwitch (ADRA NDR) weist mehrere Sicherheitsprobleme auf. Insgesamt wurden vier Schwachstellen gemeldet, die teilweise als kritisch eingestuft werden.

Unter anderem besteht die Gefahr, dass Angreifer durch hartkodierte Zugangsdaten auf das System zugreifen können (CVE-2026-22900). Weitere Schwachstellen ermöglichen es, eigene Befehle auf dem Gerät auszuführen (z. B. CVE-2026-22901).

QNAP empfiehlt hier die Aktualisierung auf:

• QuNetSwitch 2.0.4.0415 oder

• QuNetSwitch 2.0.5.0906

Zusätzlich wurden Sicherheitsprobleme in der Router-Software QuRouter identifiziert. Diese können ebenfalls zur Ausführung von Schadcode führen. Allerdings benötigen Angreifer in diesem Fall bereits lokale Administratorrechte, um die Schwachstellen auszunutzen.

Das Problem wurde laut QNAP mit Version QuRouter 2.6.3.009 behoben.

Auch wenn derzeit keine aktiven Angriffe bekannt sind, zeigt die Vergangenheit, dass veröffentlichte Sicherheitslücken häufig zeitnah ausgenutzt werden. Daher sollten Betreiber eines QNAP-NAS:

• regelmäßig nach Updates suchen

• alle installierten Apps und Dienste aktualisieren

• und nicht benötigte Komponenten deaktivieren

So lässt sich das Risiko eines erfolgreichen Angriffs deutlich reduzieren.