QNAP HybridDesk Station: esecuzione di comandi da remoto (command injection)

Un attaccante remoto può eseguire comandi arbitrari sul NAS con HybridDesk Station 4.2.x prima della 4.2.23 o 4.3.x prima della 4.3.4, senza autenticazione secondo il vettore CVSS. CVSS 9,3; non risulta nel catalogo CISA KEV.

Critica 9,3Pubblicata il 15 ottobre 2026

Tutti gli avvisi della settimana

Cosa significa per l'impianto

HybridDesk Station è un'app dei NAS QNAP e il legame con la videosorveglianza è indiretto: interessa chi la tiene installata sullo stesso NAS che archivia le registrazioni o i backup del VMS (il software di gestione delle telecamere). Un'iniezione di comandi permette di far eseguire al sistema istruzioni scelte dall'attaccante: su un NAS può significare il controllo del dispositivo, con possibile accesso, modifica o cancellazione di filmati e credenziali salvate. Per un archivio usato come prova conta anche l'integrità delle immagini, non solo la riservatezza. Il rischio cresce se il NAS è raggiungibile da internet.

Come capire se sei esposto

Sul NAS è installata l'app HybridDesk Station, e in quale versione (4.2.x o 4.3.x)?
Lo stesso NAS archivia registrazioni delle telecamere o backup del VMS?
Il NAS è raggiungibile da internet tramite port forwarding o servizi cloud del produttore?
L'app è davvero in uso, oppure è rimasta installata senza uno scopo preciso?

Una vulnerabilità pubblicata è un rischio da verificare, non la prova di un'intrusione avvenuta.

Prodotti e versioni

Colpiti	HybridDesk Station 4.2.x, versioni precedenti alla 4.2.23; HybridDesk Station 4.3.x, versioni precedenti alla 4.3.4
Corretti	HybridDesk Station 4.2.23 e successive (ramo 4.2); HybridDesk Station 4.3.4 e successive (ramo 4.3)

Non sai che firmware hai installato?È la situazione più comune: in molti impianti nessuno tiene un elenco di dispositivi e versioni. Puoi ricostruirlo con un tecnico FENIVA: scrivi su WhatsApp o chiama lo 011 852559. Non inviare password o accessi.

Fonti

Scheda compilata in automatico il 20 ottobre 2026 dalle fonti indicate, secondo le regole redazionali di ipfacile. Testo non rivisto da una persona prima della pubblicazione. Hai trovato un errore? Segnalacelo.

Vedi tutti gli avvisi della settimana Vulnerabilità, sanzioni del Garante ed edizioni, in un'unica pagina.

Parla con un tecnico FENIVA

ipfacile è un servizio informativo di FENIVA S.R.L., Torino, che dal 2004 progetta e segue reti, impianti di videosorveglianza e dispositivi connessi, con un DPO certificato interno. Se hai un dubbio su un apparato della tua rete, puoi parlarne con un tecnico.

Indica marca, modello e versione firmware, se li conosci. Non inviare mai password, codici o accessi: un eventuale collegamento da remoto si concorda dopo, con una procedura scritta.