網路附加儲存（NAS）解決方案的領導者QNAP近日發布重大安全公告，緊急修復了七個零時差漏洞。這些漏洞的危險性在於它們已在備受矚目的 Pwn2Own Ireland 2025 駭客競賽中被多位頂尖安全研究人員成功利用，證實了對 QNAP 設備的真實威脅與潛在破壞力。這七個漏洞橫跨多個核心作業系統與應用程式，包括 QNAP 用戶賴以管理和保護其數據的重要軟體，再次凸顯了軟體供應鏈中零時差弱點的嚴峻挑戰。企業和個人用戶對於資料安全性的關注，應隨著這類事件的頻繁發生而持續升級。

QNAP 修復了七個零時差漏洞，這些漏洞曾被安全研究人員在Pwn2Own Ireland 2025競賽期間用於攻擊 QNAP 網路附加儲存 (NAS) 設備。這些漏洞會影響 QNAP 的 QTS 和 QuTS hero 作業系統（CVE-2025-62847、CVE-2025-62848、CVE-2025-62849）以及該公司的 Hyper Data Protector（CVE-2025-59389）、Malware Remover（CVE-2025-11837）和 HBS 3 Hybrid Backup Sync（CVE-2025-62840、CVE-2025-62842）軟體。QNAP 在周五發布的公告中表示，這些安全漏洞是由 Summoning Team、DEVCORE、Team DDOS 和 CyCraft 的一名技術實習生在 Pwn2Own 上演示的。為了彌補這些安全漏洞，QNAP建議將軟體更新至最新版本並更改所有密碼以提高安全性。今天，QNAP 還發布了 QuMagie 2.7.0，其中包含針對其照片管理和共享解決方案中嚴重 SQLi 漏洞(CVE-2025-52425) 的補丁，該漏洞可能允許遠端攻擊者在易受攻擊的設備上執行未經授權的程式碼或命令。

本次修復的七個漏洞涵蓋 QTS 和 QuTS hero 作業系統的數個重大弱點，以及 Hyper Data Protector 備份工具、Malware Remover 惡意軟體移除工具，以及用於災害恢復和數據備份的 HBS 3 Hybrid Backup Sync。這些應用程式皆為 QNAP NAS 環境中的關鍵組件，一旦被惡意利用，攻擊者可能得以繞過安全防線，取得系統的最高權限，進而竊取、破壞或加密儲存於 NAS 上的敏感資料。Pwn2Own 競賽的結果證明，儘管 QNAP 的安全措施不斷增強，但在複雜的攻擊情境下，其核心軟體中仍存在可被利用的「零日」弱點。

資安團隊如 Summoning Team、DEVCORE、Team DDOS 以及 CyCraft 的實習生在競賽中展現的技術實力，不僅為他們贏得了獎金，更重要的是，為 QNAP 提供了關鍵的漏洞情報，使其能夠在漏洞被惡意人士利用於真實世界攻擊之前進行修復。這種漏洞懸賞機制在現代資安生態中扮演了至關重要的角色。針對這些安全問題，QNAP 官方已發布了相應的軟體更新版本，包括 Hyper Data Protector 2.2.4.1 或更新版本、Malware Remover 6.6.8.20251023 或更新版本、HBS 3 Hybrid Backup Sync 26.2.0.938 或更新版本，以及 QTS 5.2.7.3297 build 20251024 或更新版本，和 QuTS hero h5.2.7.3297 build 20251024 或更新版本。

此外，QNAP 在同一天發布了 QuMagie 2.7.0，特別針對一個嚴重的 SQL 注入（SQLi）漏洞（CVE-2025-52425）進行修補。這個 SQLi 漏洞尤其危險，因為它允許遠端攻擊者在未經授權的情況下執行程式碼或命令，對用戶照片管理和共享解決方案的完整性構成了直接威脅。用戶可以透過進入 QTS 或 QuTS Hero 的控制台，在「系統」中的「韌體更新」進行檢查和更新，對於應用程式則需進入 App Center 進行操作。QNAP 強調，為了保障設備安全，強烈建議用戶定期將系統更新至最新版本，從而受益於最新的漏洞修復，並同時提醒用戶務必更換所有密碼以提升整體安全性。一年前，QNAP 也曾在 Pwn2Own Ireland 2024 競賽後修復了另兩個零時差漏洞，這表明 Pwn2Own 已成為該公司發現及修復潛在威脅的重要環節。總體而言，本次事件是對所有 QNAP 用戶的一次緊急安全警報，系統更新刻不容緩。

資料來源：https://www.bleepingcomputer.com/news/security/qnap-fixes-seven-nas-zero-day-vulnerabilities-exploited-at-pwn2own/