QNAP اعلام کرده هفت آسیب‌پذیری روز-صفر (zero-day) را که محققان امنیتی در جریان رقابت Pwn2Own Ireland 2025 از آن‌ها برای هک دستگاه‌های NAS ساخت این شرکت استفاده کردند، پَچ کرده است.
آسیب‌پذیری‌ها بخش‌هایی از سیستم‌عامل‌ها و اپلیکیشن‌های QNAP را تحت‌تأثیر قرار می‌دهند:
در سطح سیستم‌عامل: QTS و QuTS hero (CVE-2025-62847, CVE-2025-62848, CVE-2025-62849)
در اپلیکیشن‌ها: Hyper Data Protector (CVE-2025-59389)، Malware Remover (CVE-2025-11837) و HBS 3 Hybrid Backup Sync (CVE-2025-62840, CVE-2025-62842).
QNAP در اطلاعیه‌های منتشرشده گفته که این باگ‌ها توسط تیم‌های شرکت‌کننده در Pwn2Own — از جمله Summoning Team، DEVCORE، Team DDOS و یک کارآموز از CyCraft — نشان داده شدند؛ یعنی محققان آن‌ها را در عمل اکسپلویت کردند تا دستگاه‌های NAS را compromise کنند.
راه‌حل و نسخه‌های پَچ‌شده
QNAP برای رفع این نقص‌ها توصیه کرده نرم‌افزارها را به آخرین نسخه به‌روزرسانی کنید و برای افزایش امنیت، تمامی رمزعبورهای دستگاه را تغییر دهید.
آسیب‌پذیری‌ها در نسخه‌های زیر اصلاح شده‌اند:
Hyper Data Protector: نسخه 2.2.4.1 و بالاتر
Malware Remover: نسخه 6.6.8.20251023 و بالاتر
HBS 3 Hybrid Backup Sync: نسخه 26.2.0.938 و بالاتر
QTS: نسخه 5.2.7.3297 build 20251024 و بالاتر
QuTS hero h5.2.7.3297 build 20251024 و بالاتر
QuTS hero h5.3.1.3292 build 20251024 و بالاتر
برای به‌روزرسانی OS: وارد QTS یا QuTS Hero به‌عنوان Administrator شوید، از Control Panel > System > Firmware Update روی Check for Update کلیک کنید.
برای به‌روزرسانی اپ‌ها: با حساب Admin وارد QTS/QuTS شوید → App Center → دکمه جستجو → نام اپ را تایپ کنید → در نتایج روی Update کلیک و OK را تأیید کنید.
QNAP همچنین تأکید کرده: «برای ایمن نگه داشتن دستگاه، سیستم را به‌طور منظم به‌روز کنید تا از رفع آسیب‌پذیری‌ها بهره‌مند شوید. وضعیت پشتیبانی محصول را بررسی کنید تا آخرین به‌روزرسانی‌های مربوط به مدل NAS خود را ببینید.»
پیش زمینه و سابقه
سال گذشته نیز (Pwn2Own Ireland 2024) QNAP دو zero-day دیگر را پَچ کرده بود: یک OS command injection در Hybrid Backup Sync (CVE-2024-50388) و یک SQL injection (SQLi) در SMB Service (CVE-2024-50387).
در روز جاری QNAP همچنین نسخه QuMagie 2.7.0 را منتشر کرد که یک SQLi بحرانی (CVE-2025-52425) در ماژول مدیریت و اشتراک‌گذاری عکس‌ها را پَچ می‌کند؛ این نقص می‌توانست به مهاجم راه دور اجازه اجرای کد یا دستورات غیرمجاز روی دستگاه آسیب‌پذیر را بدهد.
✅ توصیه‌های فوری برای مدیران NAS
دستگاه‌های QNAP را فوراً پچ کنید (نسخه‌های بالاتر از موارد ذکرشده).
پس از پچ، تمامی رمزهای عبور مدیریتی را تغییر دهید.
دسترسی مدیریتی را محدود و مدیریت کنید (IP allowlist برای ادمین‌ها).
قابلیت‌های Remote Access غیرضروری را غیرفعال کنید.
از پشتیبان‌گیری آفلاین / Immutable backups برای داده‌های حیاتی استفاده کنید.
لاگ‌ها و رفتارهای غیرمعمول سیستم/اپ‌ها را مانیتور کنید.
