CVE-2026-22900: QNAP QuNetSwitch: vulnerabilidade de credenciais fixas no código
A QNAP reportou uma fraqueza de credenciais codificadas no código (CWE-798) no QuNetSwitch que, segundo a descrição do fabricante, pode permitir que atacantes remotos obtenham acesso não autorizado. O fabricante informa que o problema está corrigido na versão 2.0.5.0906 e posteriores. O registro não mostra exploração confirmada, e o catálogo KEV da CISA não lista esta CVE.
Visão geral
A CVE-2026-22900 afeta o QNAP QuNetSwitch e é classificada como uso de credenciais codificadas no código (CWE-798). A descrição do fabricante indica que atacantes remotos poderiam explorar a falha para obter acesso não autorizado. O fabricante publicou um aviso de segurança e corrigiu o problema.
Impacto
- O impacto descrito é o acesso não autorizado ao produto afetado.
- A NVD atribui pontuação base 9.8 (crítica). A CNA QNAP atribui pontuação 6.8.
- Os dados SSVC do registro indicam que o problema é automatizável (sim) e que o impacto técnico é parcial.
Produtos e versões afetadas
- O registro lista dois nomes de produto: Qnap Qunetswitch e QNAP Systems Inc. QuNetSwitch.
- As faixas listadas são de 2.0.1.13077 até, sem incluir, 2.0.5.0906, e de 2.0.x até, sem incluir, 2.0.5.0906.
- O fabricante informa que o problema está corrigido na versão 2.0.5.0906 e posteriores.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro, e nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0.00332 (percentil 0.25255), e o valor SSVC de exploração é none.
Correção e mitigação
- Atualize o QuNetSwitch para a versão 2.0.5.0906 ou posterior, conforme recomendado pelo fabricante.
- Mantenha um inventário das instalações do QuNetSwitch e confirme a versão instalada antes e depois da atualização.
- Como as credenciais são codificadas no código, os administradores não podem simplesmente trocá-las. Até a atualização, restrinja o acesso de rede ao produto a hosts e redes confiáveis.
Orientações de detecção
- Revise os logs de acesso em busca de logins ou sessões de origens inesperadas ou em horários incomuns.
- Procure alterações administrativas ou de configuração que não foram planejadas.
Limitações das informações disponíveis
- O registro não informa quais builds entre 2.0.1.13077 e 2.0.5.0906 são afetados, então a faixa deve ser confirmada no aviso do fabricante.
- O campo estruturado de correções está vazio; a versão corrigida vem da descrição do fabricante.
- A data do EPSS no registro é posterior à data de publicação, então os valores EPSS devem ser interpretados com cautela.
- Detalhes técnicos específicos da fraqueza não constam no registro.
Perguntas frequentes
A CVE-2026-22900 está sendo explorada ativamente?
O catálogo KEV da CISA não lista esta CVE no registro, e nenhuma exploração confirmada aparece nas fontes consultadas. O valor SSVC de exploração é none.
Qual versão do QuNetSwitch corrige o problema?
Segundo a descrição do fabricante, o problema está corrigido no QuNetSwitch 2.0.5.0906 e posteriores. Quem usa builds anteriores deve atualizar.
Por que a pontuação da NVD é diferente da pontuação da QNAP?
A NVD atribui pontuação base 9.8, enquanto a CNA QNAP atribui 6.8. O registro não explica a diferença, então a base de cálculo deve ser verificada nas fontes.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.