QNAP ha lanzado actualizaciones de seguridad para corregir múltiples vulnerabilidades en sus sistemas operativos NAS, incluyendo QTS, QuTS hero, QuTS cloud y QVP. Estas fallas críticas podrían permitir que atacantes ejecuten comandos arbitrarios, provoquen denegaciones de servicio (DoS) y evadan los controles de acceso.

QNAP ha lanzado actualizaciones de seguridad para solucionar múltiples vulnerabilidades que afectan a sus sistemas operativos NAS ampliamente utilizados, incluidos QTS, QuTS hero, QuTS cloud y QVP (dispositivos QVR Pro).

El aviso destaca una serie de fallos críticos que podrían permitir a los atacantes ejecutar comandos arbitrarios, provocar condiciones de denegación de servicio (DoS) y eludir los controles de acceso.

Las vulnerabilidades, reveladas el 6 de abril de 2026, afectan a las versiones QTS 5.2.7, QuTS hero h5.2.8, QuTS cloud c5.2.8 y QVP 2.7.1.

QNAP ha clasificado estos problemas con una gravedad "Importante" y ha confirmado que todos los fallos reportados han sido resueltos en las últimas actualizaciones de firmware.

QNAP corrige múltiples fallos de inyección

Entre los problemas más críticos se encuentran varias vulnerabilidades de inyección de comandos, incluidas CVE-2025-66273, CVE-2025-66279 y CVE-2026-22893.

Estos fallos permiten a los administradores autenticados inyectar comandos arbitrarios del sistema a través de parámetros vulnerables, como nombres de usuario o entradas de la API.

Una explotación exitosa podría resultar en la ejecución completa de comandos en los dispositivos NAS afectados, permitiendo potencialmente que los atacantes manipulen archivos, desplieguen malware o se muevan lateralmente dentro de las redes internas.

Cabe destacar que CVE-2026-22893 permite la ejecución de comandos con privilegios elevados, lo que aumenta el riesgo general. Además, CVE-2025-59382 expone una vulnerabilidad de inyección de URL en el mecanismo de restablecimiento de contraseñas.

Los atacantes pueden crear enlaces de restablecimiento maliciosos y engañar a los usuarios para que envíen sus credenciales a páginas controladas por el atacante, lo que conlleva al robo de credenciales.

Varias vulnerabilidades implican problemas de gestión de memoria, como desbordamientos de pila (stack) y de búfer. Estas incluyen CVE-2025-62858, CVE-2025-68405 y desde CVE-2026-26239 hasta CVE-2026-26241.

Por ejemplo, CVE-2026-26240 y CVE-2026-26241 pueden activarse mediante nombres de archivo excesivamente largos durante la carga de archivos, provocando caídas en el componente utilRequest.CGI. Estos fallos pueden provocar la interrupción del servicio o inestabilidad en las operaciones del NAS.

Otras vulnerabilidades, como CVE-2025-66280 y CVE-2025-66281, implican manipulación de pila y problemas de desreferencia de puntero NULL, permitiendo a los atacantes bloquear servicios con solicitudes especialmente diseñadas.

El aviso también incluye CVE-2026-24724, una vulnerabilidad de control de acceso roto que permite a los usuarios autenticados eludir restricciones y acceder a archivos confidenciales.

Mientras tanto, CVE-2026-24720 permite el consumo descontrolado de recursos, permitiendo a los atacantes agotar los recursos de CPU y memoria, degradando significativamente el rendimiento del sistema.

Adicionalmente, CVE-2026-22899 permite que usuarios con pocos privilegios provoquen una desreferencia de puntero NULL, resultando en una condición de denegación de servicio.

QNAP ha lanzado actualizaciones de seguridad para solucionar las vulnerabilidades detalladas en el aviso QSA-26-10, actualizando QTS a la versión 5.2.10, QuTS hero a h5.2.9, QuTS cloud a c5.2.9 y QVP a la versión 2.8.0.

Se te recomienda encarecidamente que actualices tus sistemas inmediatamente para mitigar los riesgos de una posible explotación.

Para actualizar, debes iniciar sesión en la interfaz de tu dispositivo, navegar hasta la sección de actualización de firmware y aplicar la versión más reciente disponible. Alternativamente, puedes descargar el firmware manualmente desde el Centro de Descargas de QNAP.

Dada la presencia de múltiples fallos de inyección de comandos y corrupción de memoria, si usas dispositivos NAS de QNAP en tu organización, deberías priorizar el parcheo y monitorizar cualquier actividad sospechosa.

Limitar el acceso administrativo, aplicar una autenticación fuerte y revisar los registros del sistema puede reducir aún más tu exposición.

Como los dispositivos NAS suelen estar expuestos a internet, los sistemas sin parches siguen siendo objetivos atractivos para los atacantes que buscan exfiltrar datos o establecer una base de operaciones en la red.