A QNAP emitiu um importante alerta de segurança, anunciando a correção de sete vulnerabilidades "zero-day" que foram exploradas com sucesso durante a competição de hacking Pwn2Own Irlanda 2025.
Estas falhas afetam vários sistemas operativos e aplicações da QNAP, sendo crucial que os utilizadores atualizem os seus dispositivos NAS (Network-Attached Storage) imediatamente para evitar ataques.
Vulnerabilidades críticas nos sistemas operativos e apps
As falhas descobertas durante o evento impactam diretamente os sistemas operativos QTS e QuTS hero da QNAP (identificadas como CVE-2025-62847, CVE-2025-62848, CVE-2025-62849).
Além dos sistemas base, foram encontradas vulnerabilidades em software específico da marca:
Hyper Data Protector (CVE-2025-59389)
Malware Remover (CVE-2025-11837)
HBS 3 Hybrid Backup Sync (CVE-2025-62840, CVE-2025-62842)
Nos avisos oficiais, a QNAP deu o devido crédito às equipas de segurança que demonstraram os ataques, nomeadamente a Summoning Team, DEVCORE, Team DDOS e um estagiário de tecnologia da CyCraft.
Como atualizar e proteger o seu NAS
A QNAP recomenda vivamente a atualização imediata de todo o software e, como medida de precaução adicional, a alteração de todas as palavras-passe de acesso aos dispositivos.
As correções estão disponíveis nas seguintes versões:
Hyper Data Protector: 2.2.4.1 (ou superior)
Malware Remover: 6.6.8.20251023 (ou superior)
HBS 3 Hybrid Backup Sync: 26.2.0.938 (ou superior)
QTS: 5.2.7.3297 build 20251024 (ou superior)
QuTS hero: h5.2.7.3297 build 20251024 (ou superior)
QuTS hero: h5.3.1.3292 build 20251024 (ou superior)
Para atualizar o sistema operativo (QTS ou QuTS Hero), os administradores devem aceder ao Painel de Controlo > Sistema > Atualização de Firmware e clicar em "Verificar Atualizações". Para as aplicações vulneráveis, o processo deve ser feito através do App Center, procurando pelo nome da aplicação e clicando em "Atualizar".
Correção extra para o QuMagie
Paralelamente a estes patches, a QNAP lançou também o QuMagie 2.7.0. Esta nova versão corrige uma vulnerabilidade crítica de injeção de SQL (SQLi) (CVE-2025-52425) no seu software de gestão de fotografias, que podia permitir a atacantes remotos executar código não autorizado.
Este já não é o primeiro alerta proveniente da competição Pwn2Own. Há um ano, o fabricante de NAS teve de corrigir outras duas falhas "zero-day" que tinham sido exploradas na edição de 2024 do evento.
Nenhum comentário
Seja o primeiro!