CVE-2026-22897: Injeção de comandos do sistema operacional no QNAP QuNetSwitch
A CVE-2026-22897 é uma falha de injeção de comandos do sistema operacional (CWE-78) no QuNetSwitch que, segundo o registro, permite a atacantes remotos executar comandos arbitrários. O NVD atribui CVSS 3.1 de 9.8 (crítico), e o fabricante informa que a correção está na versão 2.0.4.0415 e posteriores. O registro não indica inclusão no catálogo KEV da CISA nem exploração confirmada nas fontes consultadas.
Visão geral
O QuNetSwitch está afetado por uma fraqueza de injeção de comandos do sistema operacional (CWE-78). Segundo o registro, atacantes remotos podem explorá-la para executar comandos arbitrários. A QNAP publicou o problema no aviso QSA-26-11 e informa que a versão 2.0.4.0415 e posteriores contém a correção.
Impacto
O registro descreve a execução de comandos arbitrários por atacantes remotos. O NVD atribui pontuação CVSS 3.1 de 9.8 (crítica), com vetor que indica acesso pela rede, baixa complexidade, ausência de privilégios, ausência de interação do usuário e alto impacto na confidencialidade, integridade e disponibilidade. A pontuação CVSS 4.0 da própria QNAP é 8.1.
Produtos afetados e versões
- O registro lista os produtos como Qnap Qunetswitch e QNAP Systems Inc. QuNetSwitch.
- Intervalos registrados: de 2.0.1.13077 até antes de 2.0.4.0415, e de 2.0.x até antes de 2.0.4.0415.
- O fabricante informa que a correção está na versão 2.0.4.0415 e posteriores.
Os dois intervalos registrados não começam no mesmo ponto, por isso os administradores devem confirmar a build exata no aviso do fabricante.
Status de exploração
O registro não mostra inclusão deste CVE no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS é 0.0108 (cerca de 1,08 por cento), e o campo de exploração SSVC está registrado como none, enquanto automatizável está registrado como yes.
Correção e mitigação
- Atualize o QuNetSwitch para a versão 2.0.4.0415 ou posterior, conforme informado pelo fabricante.
- Consulte o aviso QSA-26-11 da QNAP para orientações oficiais e eventuais medidas provisórias.
- Restrinja a exposição das interfaces de gerenciamento a redes confiáveis até que a atualização seja aplicada.
- Faça o inventário de todas as instâncias do QuNetSwitch e verifique as versões de build.
Orientação para detecção
- Revise os logs em busca de atividade inesperada no nível do sistema ou administrativa nos dispositivos afetados.
- Observe conexões de saída inesperadas ou processos novos originados do equipamento.
- Compare a configuração e o estado do software com uma linha de base confiável após a aplicação da correção.
Limitações das informações disponíveis
- O campo de correções do registro está vazio, mas a descrição do fabricante indica a versão corrigida. A ausência do campo não significa que não exista correção.
- O registro não contém detalhes técnicos, dados de prova de conceito nem resultados de testes independentes.
- Os intervalos de versões afetadas no registro não estão totalmente alinhados, então as builds vulneráveis exatas são incertas.
- O registro não informa se existe alguma solução alternativa além do aviso do fabricante.
Perguntas frequentes
A CVE-2026-22897 está sendo explorada ativamente?
O registro não inclui este CVE no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas. Continue acompanhando o aviso do fabricante e o KEV para eventuais mudanças.
Qual versão do QuNetSwitch corrige o problema?
A descrição do fabricante informa que a versão 2.0.4.0415 e posteriores contém a correção. Consulte o aviso QSA-26-11 da QNAP para confirmar os detalhes do seu ambiente.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.