QNAPは2026年1月3日、同社のNAS向けアプリケーション「Qfiling」に存在する脆弱性を修正したと発表しました。今回の問題は、外部の第三者が想定外のファイルやシステムデータを読み取れる可能性があるもので、セキュリティ上「重要（Important）」に分類されています。
CVE-2025-59384の概要
今回公表された脆弱性は CVE-2025-59384 として管理されており、QNAPのセキュリティアドバイザリ「QSA-25-54」で詳細が説明されています。
影響を受けるのは Qfiling 3.13.x 系で、パストラバーサル（ディレクトリトラバーサル）の欠陥により、認可されていないファイルパスへアクセスされる恐れがあります。
この脆弱性が悪用された場合、攻撃者はリモートからNAS内部の設定ファイルやシステムデータなど、本来アクセスできない情報を読み取る可能性があります。
修正状況と対応バージョン
QNAPによると、本脆弱性はすでに修正済みで、以下のバージョンで対策が施されています。
-
Qfiling 3.13.1 以降
影響を受けるバージョンを利用している場合は、速やかなアップデートが強く推奨されています。
関連する他の深刻な脆弱性にも注意
海外セキュリティメディアの報道では、QNAPは同時期に複数の深刻な脆弱性についても修正を進めています。中でも、NASの中核機能に影響する問題として以下が指摘されています。
-
Qfilingのパストラバーサル（CVE-2025-59384）
リモートから予期しないファイルやシステムデータを読み取られる可能性。 -
Multi-Application Recovery Service（MARS）のSQLインジェクション（CVE-2025-59387）
認証されていない攻撃者が不正なコードやコマンドを実行できる恐れがあり、CVSSスコアは8.1と評価されています。
これらの脆弱性は、設定や公開状況によってはインターネット経由で悪用される可能性があり、NASを業務用途や個人のデータ保管に利用している組織・ユーザーにとって重大なリスクとなります。
管理者に求められる対応
QNAPは、影響を受けるユーザーに対し、以下の対応を呼びかけています。
-
QTSまたはQuTS heroに管理者としてログイン
-
App Centerを開き、Qfilingを最新版に更新
-
不要なサービスや外部公開設定がないかを併せて確認
NASはバックアップや業務データの保管先として利用されるケースが多く、ひとたび情報が漏えいすれば被害は甚大です。今回のQfilingの脆弱性を含め、QNAP製品を利用している場合は、早急にアップデート状況を確認することが重要です。
関連記事
ドイツの複数銀行がPayPalの口座振替を一時停止-大量の不審な引き落としを検知
ヤマト運輸、元従業員による情報不正持ち出しの調査結果を更新
デロイト、AIを活用した政府報告書に誤記-44万豪ドル(4,400万円)を返金
日本の2025年ランサムウェア 被害件数は前年同期比約1.4倍、製造業が最多-台頭するQilinと新参 Kawa4096
Telegram、1クリックでIP漏えいする問題が判明
日本大学文理学部の情報掲示板サイトが改ざん 外部サイトへ誘導 個人情報流出の恐れ
ニチレイ、サイバー攻撃で従業員情報の漏洩恐れ 氏名・生年月日・人事労務情報などを確認
FortinetのFortiSOAR / FortiWebに新たな認証関連の脆弱性(CVE-2025-59808／CVE-2025-64471)
イギリス政府、ハッカーやランサムウェア グループへの身代金 支払いの禁止を発表
