QNAP 修复 QTS、QuTS hero 及 QVP 设备中的 14 个安全漏洞

概要

QNAP 已修复影响其 QTS、QuTS hero、QuTS cloud 和 QVP 系统的 14 个安全漏洞。这些漏洞涵盖命令注入、凭据窃取以及多个拒绝服务缺陷。上述 QNAP NAS 漏洞影响广泛部署的存储和监控设备，目前尚未发现主动利用的报告。

漏洞的重要性

NAS 设备存储敏感数据，且通常部署于网络边缘，因此长期以来是勒索软件攻击的主要目标。本次披露的多个漏洞允许经过身份验证的管理员执行任意命令。其中一个 URL 注入漏洞 CVE-2025-59382 无需管理员权限，远程攻击者可通过篡改密码重置链接窃取凭据。另有两个拒绝服务漏洞（包括一个预身份验证的空指针问题）完全无需登录即可触发。综合来看，这些漏洞为攻击者提供了实施数据窃取、远程控制和服务中断的多条攻击路径。

攻击原理

最严重的漏洞为命令注入类缺陷。CVE-2025-66273 通过滥用用户名参数执行系统命令；CVE-2025-66279 和 CVE-2026-22893 则通过管理员 API 实现命令执行，其中一个漏洞还可获取提升的权限。其他多个漏洞属于内存安全问题：过长的上传文件名可在 CGI 处理程序中触发基于栈的缓冲区溢出，导致服务崩溃；不含 content-length 头的畸形 HTTP 请求也可在登录前触发系统崩溃。上述大多数 QNAP NAS 漏洞需要经过身份验证的会话才能触发，这在一定程度上降低了风险，但并不能完全消除威胁。

受影响版本

QNAP 已针对各产品列出修复版本：QTS 5.2.7 已在 5.2.10 中修复；QuTS hero h5.2.8 已在 h5.2.9 中修复；QuTS cloud c5.2.8 已升级至 C5.2.9；QVP 2.7.1 已在 QVP 2.8.0 中修复。

补丁修复与缓解措施

更新现已正式发布。用户可以管理员身份登录，打开控制面板并运行固件在线更新，也可从 QNAP 支持网站手动下载固件。详细的 CVE 与版本对应关系请参阅完整的 QSA-26-10 安全公告。目前尚未确认存在在野利用行为，也没有公开的概念验证代码。尽管如此，NAS 设备持续受到攻击者的高度关注，请务必尽快完成修复。同时，建议限制管理员访问权限，并将管理界面与公共互联网隔离。此外，快照备份和离线备份也有助于在设备遭受攻击时将损失降至最低。

https://www.qnap.com/en-uk/security-advisory/qsa-26-10

原文始发于微信公众号（sec随谈）：QNAP 修复 QTS、QuTS hero 及 QVP 设备中的 14 个安全漏洞