QNAP ha emitido un aviso de seguridad crítico para abordar una grave vulnerabilidad en su software de vigilancia QVR Pro. Identificada como CVE-2026-22898, esta falla permite a atacantes remotos y no autenticados obtener acceso no autorizado a los sistemas afectados. Los usuarios que dependen de QVR Pro 2.7.x deben aplicar inmediatamente los últimos parches para proteger sus entornos de almacenamiento conectado a la red frente a posibles intrusiones

QNAP ha publicado un aviso de seguridad crítico que aborda una vulnerabilidad grave en su software de vigilancia QVR Pro. Registrada como CVE-2026-22898, esta falla permite a atacantes remotos y no autenticados obtener acceso no autorizado a sistemas afectados. Los usuarios que dependen de QVR Pro 2.7.x deben aplicar inmediatamente los últimos parches para proteger sus entornos de almacenamiento conectado a la red contra posibles intrusiones. La vulnerabilidad de seguridad surge de un control de autenticación faltante para una función crítica dentro de la aplicación QVR Pro. Investigadores de seguridad de FuzzingLabs descubrieron y reportaron la vulnerabilidad, destacando un descuido significativo en los mecanismos de control de acceso del software. Debido a que el proceso de autenticación está implementado incorrectamente o se omite por completo para ciertas funciones, un actor de amenazas remoto no necesita credenciales válidas para interactuar con el punto final vulnerable. 

Vulnerabilidad crítica en QNAP QVR Pro

Este tipo de brecha de seguridad es particularmente peligrosa para aplicaciones de vigilancia empresarial, que a menudo se encuentran en la intersección de conexiones de red externas y datos internos altamente sensibles. Si se explota con éxito, CVE-2026-22898 proporciona a un atacante acceso directo y no autorizado al sistema QNAP que ejecuta el servicio QVR Pro. Una vez dentro del entorno, el actor de amenazas podría manipular configuraciones de vigilancia, acceder a transmisiones de video en vivo o grabadas y potencialmente moverse lateralmente a otros dispositivos conectados en la red local. Los dispositivos de almacenamiento conectado a la red son objetivos frecuentes para grupos de ransomware, operadores de botnets y extorsionistas de datos. Dejar esta vulnerabilidad crítica sin parchear aumenta severamente el riesgo de un compromiso total del sistema, robo de datos no autorizado y la posterior implementación de cargas maliciosas en toda la red empresarial.  

QNAP ha resuelto oficialmente este problema en la última versión del software y instauradamente recomienda a todos los administradores de sistemas que operen QVR Pro 2.7.x actualizar a la versión 2.7.4.1485 o posterior de inmediato. El parche restaura los controles de autenticación necesarios para evitar el acceso no autorizado a funciones críticas de la aplicación. Para realizar la actualización, los administradores deben iniciar sesión en su interfaz QTS o QuTS hero con privilegios administrativos. Desde el panel principal, navega al Centro de Aplicaciones y usa la función de búsqueda para localizar la aplicación QVR Pro. Si el sistema está ejecutando una versión vulnerable, se mostrará activamente una opción de actualización. Los administradores deben iniciar la actualización, esperar el mensaje de confirmación y permitir que el sistema instale la aplicación parcheada de manera segura. QNAP aconseja verificar la instalación exitosa de la actualización del software para garantizar que el entorno esté completamente protegido contra intentos de explotación remota.

Fuentes:
https://cybersecuritynews.com/qnap-qvr-pro-vulnerability/