Multiple vulnerabilities across Qnap's License Center, QTS, QuMagie, QuTS cloud, QuTS hero, and QVP products can lead to remote code execution, privilege escalation, and denial of service. The article references CVEs including CVE-2025-62851 (CVSS 4.4) and CVE-2025-62858 (CVSS 6.5), with specific affected version ranges such as License Center versions prior to 1.9.56 and QTS versions prior to 5.2.10. Administrators must apply the patches detailed in Qnap security bulletins QSA-26-10 and QSA-26-35.
Premier Ministre S.G.D.S.N Agence nationale de la sécurité des systèmes d'information Paris, le 17 juin 2026 N° CERTFR-2026-AVI-0762 Affaire suivie par: CERT-FR Avis du CERT-FR Objet: Multiples vulnérabilités dans les produits Qnap Gestion du document Référence CERTFR-2026-AVI-0762 Titre Multiples vulnérabilités dans les produits Qnap Date de la première version 17 juin 2026 Date de la dernière version 17 juin 2026 Source(s) Bulletin de sécurité Qnap QSA-26-10 du 17 juin 2026 Bulletin de sécurité Qnap QSA-26-35 du 17 juin 2026 Une gestion de version détaillée se trouve à la fin de ce document. Risques Atteinte à la confidentialité des données Contournement de la politique de sécurité Déni de service à distance Exécution de code arbitraire à distance Non spécifié par l'éditeur Élévation de privilèges Systèmes affectés License Center versions 1.8.56 antérieures à 2.0.42 QTS versions 5.2.7 antérieures à 5.2.10 QuMagie versions 2.8.2 antérieures à 2.9.1 QuMagie versions 2.9.x antérieures à 2.10.0 QuTS cloud versions c5.2.8 antérieures à c5.2.9 QuTS hero versions h5.2.8 antérieures à h5.2.9 QVP versions 2.7.1 antérieures à 2.8.0 Résumé De multiples vulnérabilités ont été découvertes dans les produits Qnap. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une élévation de privilèges et un déni de service à distance. Solutions Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation). Documentation Bulletin de sécurité Qnap QSA-26-10 du 17 juin 2026 https://www.qnap.com/go/security-advisory/qsa-26-10 Bulletin de sécurité Qnap QSA-26-35 du 17 juin 2026 https://www.qnap.com/go/security-advisory/qsa-26-35 Référence CVE CVE-2025-59382 https://www.cve.org/CVERecord?id=CVE-2025-59382 Référence CVE CVE-2025-62851 https://www.cve.org/CVERecord?id=CVE-2025-62851 Référence CVE CVE-2025-62858 https://www.cve.org/CVERecord?id=CVE-2025-62858 Référence CVE CVE-2025-66273 https://www.cve.org/CVERecord?id=CVE-2025-66273 Référence CVE CVE-2025-66279 https://www.cve.org/CVERecord?id=CVE-2025-66279 Référence CVE CVE-2025-66280 https://www.cve.org/CVERecord?id=CVE-2025-66280 Référence CVE CVE-2025-66281 https://www.cve.org/CVERecord?id=CVE-2025-66281 Référence CVE CVE-2025-68405 https://www.cve.org/CVERecord?id=CVE-2025-68405 Référence CVE CVE-2026-22893 https://www.cve.org/CVERecord?id=CVE-2026-22893 Référence CVE CVE-2026-22899 https://www.cve.org/CVERecord?id=CVE-2026-22899 Référence CVE CVE-2026-24720 https://www.cve.org/CVERecord?id=CVE-2026-24720 Référence CVE CVE-2026-24724 https://www.cve.org/CVERecord?id=CVE-2026-24724 Référence CVE CVE-2026-26236 https://www.cve.org/CVERecord?id=CVE-2026-26236 Référence CVE CVE-2026-26237 https://www.cve.org/CVERecord?id=CVE-2026-26237 Référence CVE CVE-2026-26239 https://www.cve.org/CVERecord?id=CVE-2026-26239 Référence CVE CVE-2026-26240 https://www.cve.org/CVERecord?id=CVE-2026-26240 Référence CVE CVE-2026-26241 https://www.cve.org/CVERecord?id=CVE-2026-26241 Référence CVE CVE-2026-44083 https://www.cve.org/CVERecord?id=CVE-2026-44083 Gestion détaillée du document le 17 juin 2026 Version initiale