QNAPは2026年3月21日、QVR Proに対するセキュリティアドバイザリ QSA-26-07 を公開しました。対象となる脆弱性は CVE-2026-22898 ZDI-CAN-28327 で、深刻度は Critical とされています。QNAPによると、この問題は critical function に対する認証不備で、悪用された場合、リモートの攻撃者がシステムへアクセスできる可能性があります。
概要
今回の脆弱性は、QNAPの監視ソリューションであるQVR Proに存在する認証不備です。QNAPの説明では、missing authentication for critical function に分類されており、本来は適切な認証を必要とする重要機能に対して、十分な認証制御が行われていなかったことを示しています。結果として、外部の攻撃者が遠隔からシステムへアクセスできるおそれがあります。
認証不備は、公開環境や外部接続された監視基盤では特に危険です。侵入後に管理機能や映像監視基盤へ影響が及ぶ可能性があるため、単なる軽微な不具合ではなく、優先度を上げて対処すべき脆弱性として見る必要があります。
脆弱性の対象バージョン
QVR Pro 2.7系が対象です。このバージョンを利用している環境は、今回のアドバイザリの対象として確認が必要です。
対策バージョン
QNAPは、修正版として QVR Pro 2.7.4.1485 以降を案内しています。QVR Pro 2.7.x を利用している場合は、QVR Pro 2.7.4.1485 以降へ更新することで、この脆弱性に対処できます。
関連記事
AWSとGoogle CloudのCLIツールで情報漏洩の脆弱性 LeakyCLIが発生
Adobe Experience Manager Formsに重大な脆弱性(CVE-2025-54253,CVE-2025-54254)
Microsoft、2025年4月の月例パッチでゼロデイを含む134件の脆弱性を修正
n8nで複数の重大な脆弱性、大規模スキャンも観測(CVE-2026-25049,CVE-2026-21858)
VMwareがローカル権限昇格の脆弱性を修正 (CVE-2025-22231)
トロイの木馬化された「jQuery」がnpmやGitHubで拡散
React Server ComponentsでDoS脆弱性(CVE-2026-23864)
TP-Linkのルーター Deco BE65 Proに脆弱性、ファームウェアの更新を推奨(CVE-2025-32107)
JavaScriptのライブラリ「Polyfill.io」がサプライチェーン攻撃に悪用 10万以上のサイトに影響
