QNAPは現在、CVE-2026-31431（別名：Copy Fail）について調査中です。QNAP NASデバイスへの影響を懸念されるユーザーの皆様に、いくつかのご説明をいたします。
要点：ほとんどのQNAP NASモデルはこの脆弱性の影響を受けません。
この問題は、特定のLinuxカーネルバージョンを実行している一部のARMベースQNAP NASモデルのみに影響します。現時点での評価は以下の通りです：
- すべてのx86ベースQNAP NASモデルは影響を受けません。
- QTS 4.xを搭載したARMベースNASモデルも影響を受けません。
- 問題は、特定の脆弱なカーネルバージョンを実行中の、限定されたARMベースNASモデルのみに該当します。
最新情報は、公式QNAPセキュリティ通達をご確認ください：
https://www.qnap.com/go/security-advisory/qsa-26-16
この脆弱性について
本脆弱性は、ローカル権限昇格の問題です。
つまり、攻撃者がNAS上で一般（非管理者）ユーザーとしてコードの実行に成功した場合にのみ、本脆弱性を悪用できる可能性があります。インターネット経由で直接悪用されるものではなく、まず何らかの形でローカルアクセス権が必要です。
QNAP NASでは、SSHおよびTelnetアクセスはデフォルトで管理者グループのユーザーに限定されています。ただし、特に他のユーザーや外部ネットワークからアクセス可能なサービスやコンテナを運用している場合は、システムやアプリケーションの公開状態を確認してください。
推奨対策
一般的なリスク低減策として、以下を推奨します：
- 非管理者ユーザーにShellアクセスを不要に許可しないでください。
- 信頼できるソースのコンテナイメージのみ使用してください。
- Container Stationの設定を見直し、不要なコンテナへのユーザーアクセスを避けてください。
- アプリケーション、コンテナ、サービスは常に最新の状態に保ってください。
- 利用しないサービスやアプリケーションは無効化してください。
- 統合Webサーバーを利用していない場合は、コントロールパネル＞Webサーバーから無効化してください。
- NASはファイアウォールの内側で運用し、インターネットへ直接公開しないようにしてください。
- 公式セキュリティ通達に従い、セキュリティアップデートが公開されたら速やかに適用してください。
QNAPは現在修正に取り組んでおり、追加情報やパッチが利用可能になり次第、セキュリティ通達を更新します。
特定のシステム構成についてご心配な場合は、QNAPサポートまでお問い合わせください。
安全のため、フォーラム内ではパブリックIPアドレス、ユーザー名、機器のシリアル番号、完全なログや詳細なシステム構成など、機密情報の投稿は控えてください。
— QNAPコミュニティチーム
（QNAP Product Security Incident Response Teamの情報に基づく）