CVE-2026-22898: QNAP QVR Pro - Falta de autenticação em função crítica
A QNAP divulgou uma vulnerabilidade de falta de autenticação em função crítica (CWE-306) no QVR Pro, que, segundo o registro, pode permitir que atacantes remotos obtenham acesso ao sistema. A NVD atribui pontuação CVSS 9.8, e o fabricante informa que o QVR Pro 2.7.4.14 e versões posteriores já contêm a correção. As fontes consultadas não mostram exploração confirmada na natureza.
Visão geral
A QNAP publicou o aviso QSA-26-07, que trata de uma vulnerabilidade de falta de autenticação em função crítica no QVR Pro, classificada como CWE-306. O registro informa que atacantes remotos podem usar a falha para obter acesso ao sistema e que a correção está disponível no QVR Pro 2.7.4.14 e versões posteriores.
Impacto
- A pontuação base da NVD é 9.8 (crítica), e o vetor do registro indica acesso pela rede, baixa complexidade, nenhum privilégio e nenhuma interação do usuário.
- O registro descreve impacto técnico total sobre confidencialidade, integridade e disponibilidade, conforme os dados SSVC.
- A CNA (QNAP) informa pontuação separada de 9.3 no CVSS 4.0.
Produtos e versões afetados
- O registro lista duas entradas de afetados para o QVR Pro: uma indicada como do 2.7.1.1259 antes do 2.7.4.1485, e outra indicada como de uma ramificação 2.7 não especificada antes do 2.7.4.14.
- Essas duas faixas não são totalmente consistentes entre si, por isso a faixa exata deve ser confirmada no aviso da QNAP.
- O fabricante informa que o QVR Pro 2.7.4.14 e versões posteriores contêm a correção.
Status de exploração
- Esta CVE não consta no catálogo KEV da CISA no registro analisado.
- O campo de exploração SSVC está definido como none, e a probabilidade EPSS é 0.00695 (percentil 0.5245).
- Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Atualize o QVR Pro para a versão 2.7.4.14 ou posterior, conforme informado pelo fabricante.
- Verifique a versão instalada em relação ao aviso da QNAP, pois as faixas de afetados no registro são inconsistentes.
- Restrinja o acesso à interface de administração do QVR Pro a redes confiáveis enquanto a atualização não for aplicada, como medida defensiva geral.
Orientações de detecção
- Revise os logs de acesso do QVR Pro em busca de requisições a funções administrativas ou críticas vindas de origens inesperadas ou sem sessão válida.
- Monitore a criação inesperada de contas, alterações de configuração ou acesso a gravações no sistema.
Limitações das informações disponíveis
- O registro não identifica a função crítica específica afetada.
- O campo de correções do registro está vazio, embora a descrição cite a versão corrigida.
- A data do EPSS no registro é posterior à data de publicação, e não havia análise independente de exploração nas fontes consultadas.
Perguntas frequentes
O que é a CVE-2026-22898?
É uma vulnerabilidade de falta de autenticação em função crítica (CWE-306) no QNAP QVR Pro, que, segundo o registro, pode permitir que atacantes remotos obtenham acesso ao sistema.
Qual versão corrige o problema?
O fabricante informa que o QVR Pro 2.7.4.14 e versões posteriores contêm a correção. As faixas de afetados no registro são inconsistentes, então confira o aviso da QNAP para confirmar a sua versão exata.
Esta vulnerabilidade está sendo explorada ativamente?
O registro mostra que ela não consta no KEV da CISA, e o campo de exploração SSVC está como none. Nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.