QNAP は現在、CVE-2026-31431、いわゆる Copy Fail の調査を行っています。この脆弱性が QNAP NAS デバイスに影響するかどうかを心配されているユーザーのために、詳しいご説明をいたします。
簡単に言うと、ほとんどの QNAP NAS モデルはこの脆弱性の影響を受けません。
この問題は、影響を受ける特定の Linux kernel バージョンを使用している ARM アーキテクチャの QNAP NAS モデルのみに影響します。現時点での評価は以下の通りです：
- 全ての x86 アーキテクチャの QNAP NAS モデルは影響を受けません。
- QTS 4.x を実行している ARM アーキテクチャ NAS モデルも影響を受けません。
- この問題は、影響を受ける kernel バージョンを使用している特定の ARM アーキテクチャ NAS モデルのみに該当します。
最新情報については QNAP 公式セキュリティアドバイザリをご参照ください：
https://www.qnap.com/go/security-advisory/qsa-26-16
この脆弱性について
この脆弱性はローカル権限昇格脆弱性です。
つまり、攻撃者がこの脆弱性を悪用するには、まず通常ユーザー（管理者ではない権限）として NAS 上でコードを実行できる必要があります。これは、攻撃者がローカルアクセスを確保する前に、インターネット経由ですぐに悪用できる脆弱性ではありません。
QNAP NAS 端末では、SSH および Telnet へのアクセス権限はデフォルトで管理者グループのユーザーに限定されています。ただし、外部ユーザーやネットワークからアクセス可能なサービスやコンテナを運用している場合は、とくにシステムやアプリの公開状況を確認することをお勧めします。
推奨対策
全体的なリスクを低減するために、以下の対策を推奨します：
- 必要がない限り、管理者以外のユーザーに shell アクセス権限を与えない。
- 信頼できるソースからのみコンテナイメージを実行する。
- Container Station の設定を見直し、不要なユーザーがコンテナへアクセスできないようにする。
- アプリケーション、コンテナ、サービスを常に最新バージョンに保つ。
- 使わないサービスやアプリは無効化。
- 内蔵 Web Server を利用しない場合、コントロールパネル ＞ Web Server から無効化を推奨します。
- NAS をファイアウォールの内側に設置し、インターネットへ直接公開しない。
- 公式のセキュリティアドバイザリを定期的に確認し、セキュリティアップデートが公開されたら速やかに適用する。
QNAP は現在、セキュリティアップデートを準備中です。新たな情報や修正版が用意でき次第、公式セキュリティアドバイザリを更新いたします。
特定のシステム設定についてご不明な点がある場合は、QNAP Support までお問い合わせください。
セキュリティの観点から、公開フォーラムには公開 IP アドレス、ユーザー名、デバイスのシリアル番号、完全なログ、詳細なシステム設定などの機密情報を投稿しないでください。
— QNAP Community Team
内容は QNAP Product Security Incident Response Team の情報に基づき構成しています。