چه چیزی تأیید شده است؟
QNAP در رکورد CNA منتشرشده در ۲۹ اکتبر ۲۰۲۶، استفاده از کلید رمزنگاری ثابت در HBS 3 Hybrid Backup Sync و Hybrid Backup Sync را ثبت کرده است. سال شناسهٔ CVE زمان انتشار عمومی را تعیین نمی‌کند؛ این شناسه در سال ۲۰۲۵ رزرو شده و اطلاعات مورد بررسی اکنون منتشر شده است. توضیح رسمی، امکان به خطر افتادن امنیت سامانه را بیان می‌کند، اما محل کلید، پروتکل دقیق و شیوهٔ استخراج آن را در این رکورد شرح نمی‌دهد.
بردار رسمی CVSS دسترسی شبکهٔ مجاور را نشان می‌دهد. بنابراین تعبیر آن به حملهٔ اینترنتی مستقیم علیه هر دستگاه QNAP دقیق نیست. در مقابل، حضور در شبکهٔ داخلی نیز تضمین امنیت نیست: سامانهٔ آلوده در بخش پشتیبان‌گیری یا شبکهٔ مشترک می‌تواند مرز اعتماد این سناریو را مهم کند. از عبارت کوتاه سازنده نباید نتیجه گرفت که همهٔ نسخه‌های پشتیبان حتماً افشا شده‌اند یا هر کلید کاربر قابل بازیابی است.
مرز نسخه‌های اصلاح‌شده
سازنده برای HBS 3 Hybrid Backup Sync نسخهٔ 26.4.0.521 و جدیدتر را اصلاح‌شده معرفی کرده است. برای Hybrid Backup Sync هر دو مرز 26.4.0.521 و 26.4.1.563 در دادهٔ رسمی آمده‌اند. دادهٔ affected شاخهٔ 26.4.x را ذکر می‌کند. این دو شماره را نباید بدون توجه به بسته و مسیر انتشار، به یک قاعدهٔ ساده برای تمام محصولات تبدیل کرد؛ نسخهٔ توصیه‌شده در App Center همان دستگاه و یادداشت انتشار مربوط به بسته را بررسی کنید.
به‌روزرسانی سیستم‌عامل NAS به تنهایی اثبات اصلاح برنامهٔ پشتیبان‌گیری نیست. نام دقیق برنامه، شمارهٔ ساخت و تاریخ نصب آن باید جداگانه ثبت شود. اگر دستگاه از شاخه‌ای استفاده می‌کند که در این اطلاعات مشخص نشده، وضعیت را از پشتیبانی QNAP روشن کنید و صرف نبودن شماره در جدول را معادل تأیید امنیت نگیرید.
برنامهٔ تغییر بدون از دست دادن بازیابی
پیشنهاد تحریریه، اجرای یک کار پشتیبان‌گیری و یک بازیابی کوچک پیش از تغییر است تا خط مبنای سلامت مشخص شود. سپس زمان ارتقای برنامه را خارج از پنجرهٔ انتقال اصلی انتخاب کنید. پس از نصب، اتصال به مقصد، زمان‌بندی، اعتبارنامه‌های ذخیره‌شده و نتیجهٔ بازیابی نمونه را بررسی کنید. معیار موفقیت فقط سبز شدن وضعیت کار انتقال نیست؛ دادهٔ بازیابی‌شده نیز باید قابل استفاده باشد.
تا نصب اصلاح، دسترسی شبکه به NAS و سرویس‌های انتقال پشتیبان را به همتایان ضروری محدود کنید. تقسیم شبکهٔ مدیریت از کاربران عادی و جلوگیری از دسترسی دستگاه‌های نامطمئن به مسیرهای پشتیبان‌گیری، احتمال رسیدن مهاجم به سطح مجاور را کاهش می‌دهد. این کنترل‌ها کلید ثابت را از نرم‌افزار حذف نمی‌کنند و جایگزین به‌روزرسانی نیستند.
حدود ارزیابی و پیگیری
رکورد عمومی دستور فراگیری برای تعویض همهٔ کلیدهای رمزنگاری ارائه نکرده است. تصمیم دربارهٔ چرخش اعتبارنامه یا رمزگذاری مجدد باید بر پایهٔ راهنمای سازنده، نوع مقصد و شواهد مواجهه باشد. برای پروندهٔ تغییر، شمارهٔ برنامهٔ نصب‌شده، مسیر انتشار انتخابی، نتیجهٔ بازیابی و پاسخ پشتیبانی دربارهٔ هر ابهام را نگه دارید. اهمیت داده‌های پشتیبان و گسترهٔ دسترسی NAS باید در اولویت محلی لحاظ شود؛ امتیاز استاندارد به تنهایی جای این بررسی را نمی‌گیرد.
امتیاز و منابع
امتیاز ثبت‌شدهٔ CNA برابر 8.7 در CVSS 4.0 است. منبع امتیاز: qnap. بردار رسمی: CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. این امتیاز ادعای وقوع حمله یا حضور در فهرست KEV نیست.
- رکورد رسمی برنامهٔ CVE
- دادهٔ رسمی CNA؛ qnap
- مرجع اولیهٔ معرفی‌شده توسط CNA
- مرجع اولیهٔ معرفی‌شده توسط CNA
تصویر همراه نشان QNAP است و برای معرفی محصول یا سازنده استفاده می‌شود؛ تصویر حمله یا تأیید این گزارش توسط صاحب نشان نیست. بازبینی: ۲۹ اکتبر ۲۰۲۶.
