QNAP heeft meerdere beveiligingsupdates uitgebracht voor kritieke kwetsbaarheden waardoor NAS-systemen van de fabrikant op afstand zijn over te nemen. Het gaat in totaal om acht beveiligingslekken die als kritiek zijn aangemerkt. Zeven daarvan werden onlangs tijdens de Pwn2Own-wedstrijd in het Ierse Cork gedemonstreerd. Dit is een jaarlijks terugkerend evenement waarbij onderzoekers worden beloond voor het demonstreren van onbekende kwetsbaarheden in veelgebruikte software, diensten en producten.

Verschillende onderzoeksteam lieten zien hoe ze op afstand volledige gepatchte QNAP-systemen konden overnemen. De zeven kritieke Pwn2Own-lekken bevinden zich in Hyper Data Protector, HBS 3 Hybrid Backup Sync, Malware Remover en QTS en QuTS hero. Het gaat zowel om applicaties die op de NAS-systemen draaien als het onderliggende besturingssysteem.

De achtste kritieke kwetsbaarheid staat los van de Pwn2Own-wedstrijd en bevindt zich in QuMagie. Het gaat om een SQL Injection-lek waardoor een remote aanvaller willekeurige commando's en code op het NAS-systeem kan uitvoeren. QNAP roept eigenaren van NAS-systemen op om de beschikbaar gestelde updates te installeren. In het verleden zijn verschillende kwetsbaarheden in QNAP-apparatuur gebruikt bij ransomware-aanvallen, waarbij bestanden van gebruikers werden versleuteld.