QNAP Video Station’da altı yüksek riskli açık kapatıldı, güncelleme şart

QNAP, NAS cihazlarında medya kütüphanesi olarak çalışan Video Station uygulaması için altı güvenlik açığını kapatan bir güncelleme yayınladı. Açıkların tamamı Video Station 5.8.8 öncesi sürümleri etkiliyor; ikisi 8.8 CVSS puanıyla yüksek seviyede. NVD kayıtlarına göre bu açıkları kullanabilmek için saldırganın ağ üzerinden cihaza erişmesi ve çoğu senaryoda geçerli bir kullanıcı hesabı ele geçirmesi gerekiyor. Yani tek başına uzaktan “tek tıkla” ele geçirme söz konusu değil, ama zayıf ya da varsayılan parolalarla çalışan bir NAS için risk ciddi.

Kapatılan açıklar

CVE-2026-26244 ve CVE-2026-26245 (CVSS 8.8): Video Station’daki SQL enjeksiyonu açıkları. Uzaktan bir saldırgan bir kullanıcı hesabı ele geçirirse, bu açıklar üzerinden yetkisiz kod veya komut çalıştırabiliyor. QNAP her iki açığı 5.8.8 sürümünde kapattı.

CVE-2026-44084 (CVSS 8.7): Kullanıcı kontrollü anahtar üzerinden yetkilendirme atlatma açığı. Uzaktan bir saldırgan bu açığı kullanarak hassas verilere ulaşabiliyor.

CVE-2026-34015 (CVSS 8.7): Yol geçişi (path traversal) açığı. Bir kullanıcı hesabı ele geçiren saldırgan, beklenmeyen dosyaların veya sistem verilerinin içeriğini okuyabiliyor.

CVE-2025-66272 ve CVE-2025-66275 (CVSS 7.7): Yine yol geçişi türünde iki açık. Bunlar 5.8.5 ve sonrasında kapatıldı, ancak daha eski kurulumlar hâlâ risk altında.

Kimler etkileniyor

Video Station kurulu olan ve uygulama sürümü 5.8.8’in altında kalan tüm QNAP NAS sahipleri etkileniyor. Uygulama, QTS ve QuTS hero işletim sistemlerinde App Center üzerinden kuruluyor ve ev ile küçük ofis NAS’larında film-dizi kütüphanesi kurmak isteyenlerin sık kullandığı bir araç. Video Station’ı hiç kurmadıysanız bu açıklar sizi ilgilendirmiyor.

Nasıl güncellenir

QNAP’ın önerdiği yol kısa. QTS veya QuTS hero arayüzüne yönetici hesabıyla giriş yapın, App Center’ı açın, arama kutusuna “Video Station” yazın ve sonuçtaki uygulamanın yanındaki Güncelle düğmesine basın. Güncelle düğmesi görünmüyorsa uygulama zaten son sürümdedir. App Center ayarlarında otomatik güncelleme kapalıysa açmanız, ileride bu tür duyuruları beklemeden yama almanızı sağlar.

Aktif sömürü var mı

Bu açıklar CISA’nın aktif sömürülen açıklar listesinde (KEV) yer almıyor ve NVD kayıtlarında fidye yazılımı kampanyalarıyla ilişkilendirilmemiş. Yani şu an için “saldırı altındasınız” diyebileceğimiz bir veri yok. Buna rağmen NAS cihazları, internete açık portları ve zayıf parolaları yüzünden fidye yazılımcıların en çok hedeflediği cihazlardan biri. Video Station’ı doğrudan internete açmadıysanız, uzaktan erişimi VPN veya myQNAPcloud ile sınırladıysanız, yönetici hesabında güçlü bir parola ve iki adımlı doğrulama kullanıyorsanız riski büyük ölçüde düşürmüş olursunuz.

Özetle QNAP NAS’ınızda Video Station kuruluysa App Center’dan sürümü kontrol edip 5.8.8 ya da üzerine güncelleyin. Aynı ekranda QTS ve QuTS hero için bekleyen güncellemeler varsa onları da ihmal etmeyin.

Kaynak: QNAP Güvenlik Danışmaları · CISA KEV · NVD