Qnap Products Security Vulnerabilities

CERT-FR Security Advisories

Published March 23rd, 2026

Detected March 23rd, 2026

Summary

CERT-FR has issued an advisory regarding multiple security vulnerabilities discovered in Qnap products. These vulnerabilities could allow attackers to achieve remote arbitrary code execution, denial of service, and data confidentiality breaches. Users are advised to consult Qnap's security bulletins for patch information.

View original document View source feed page

What changed

CERT-FR, the French national cybersecurity agency, has published an advisory (CERTFR-2026-AVI-0336) detailing multiple critical security vulnerabilities affecting various Qnap product lines, including Media Streaming, QuFTP Service, QuNetSwitch, QuRouter, and QVR Pro. The vulnerabilities, identified by CVEs such as CVE-2025-59383 and CVE-2026-22895, can lead to remote arbitrary code execution, remote denial of service, and breaches of data confidentiality.

Organizations utilizing affected Qnap devices must immediately consult the vendor's security bulletins (QSA-26-07 through QSA-26-15) and apply the provided patches to mitigate these risks. Failure to do so could result in significant data breaches, system compromise, and operational disruption. This advisory highlights the ongoing threat landscape for network-attached storage devices and the importance of timely patching.

What to do next

Consult Qnap security bulletins for affected product versions.
Apply available patches and firmware updates to Qnap devices.
Review system logs for any signs of compromise.

Source document (simplified)

Premier Ministre S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 23 mars 2026 N° CERTFR-2026-AVI-0336 Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités dans les produits Qnap

Gestion du document

| Référence | CERTFR-2026-AVI-0336 |
| Titre | Multiples vulnérabilités dans les produits Qnap |
| Date de la première version | 23 mars 2026 |
| Date de la dernière version | 23 mars 2026 |
| Source(s) | Bulletin de sécurité Qnap QSA-26-07 du 21 mars 2026
Bulletin de sécurité Qnap QSA-26-09 du 21 mars 2026
Bulletin de sécurité Qnap qsa-26-11 du 21 mars 2026
Bulletin de sécurité Qnap QSA-26-12 du 21 mars 2026
Bulletin de sécurité Qnap QSA-26-15 du 21 mars 2026 |
Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Déni de service à distance
Exécution de code arbitraire à distance
Injection de code indirecte à distance (XSS)

Systèmes affectés

greffon Media Streaming versions 500.1.x antérieures à 500.1.1
QuFTP Service versions 1.4.x antérieures à 1.4.3
QuFTP Service versions 1.5.x antérieures à 1.5.2
QuFTP Service versions 1.6.x antérieures à 1.6.2
QuNetSwitch versions 2.0.4.x antérieures à 2.0.4.0415
QuNetSwitch versions 2.0.5.x antérieures à 2.0.5.0906
QuRouter versions 2.6.x antérieures à 2.6.3.009
QVR Pro versions 2.7.x antérieures à 2.7.4.14

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Qnap. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une atteinte à la confidentialité des données.