QNAP QuMagie: seguimento di collegamenti simbolici (symlink) con un account valido

Chi ottiene un account utente su QuMagie 2.9.x precedente alla 2.9.2 può compromettere la sicurezza del sistema: serve quindi un accesso valido (privilegi bassi nel vettore CVSS). CVSS 9,4; non risulta nel catalogo CISA KEV.

Critica 9,4Pubblicata il 15 ottobre 2026

Tutti gli avvisi della settimana

Cosa significa per l'impianto

QuMagie è l'app QNAP per organizzare foto e video sul NAS, quindi il legame con la videosorveglianza è debole: riguarda chi la usa sullo stesso NAS che archivia le registrazioni o i backup del VMS (il software di gestione delle telecamere). La falla riguarda i symlink, collegamenti simbolici che rimandano a un altro percorso del sistema, e richiede un account valido. Per questo contano le credenziali in uso: un account debole, condiviso o dimenticato abbassa la barriera. Il vettore CVSS indica impatto alto su riservatezza, integrità e disponibilità, quindi anche sulle registrazioni conservate come prova.

Come capire se sei esposto

Sul NAS è installata l'app QuMagie in una versione 2.9.x precedente alla 2.9.2?
Lo stesso NAS archivia registrazioni delle telecamere o backup del VMS?
Quali account utente esistono sul NAS, e sono tutti personali, necessari e protetti da password robuste?
Il NAS è raggiungibile da internet tramite port forwarding o servizi cloud del produttore?

Una vulnerabilità pubblicata è un rischio da verificare, non la prova di un'intrusione avvenuta.

Prodotti e versioni

Colpiti	QuMagie 2.9.x, versioni precedenti alla 2.9.2
Corretti	QuMagie 2.9.2 e successive

Non sai che firmware hai installato?È la situazione più comune: in molti impianti nessuno tiene un elenco di dispositivi e versioni. Puoi ricostruirlo con un tecnico FENIVA: scrivi su WhatsApp o chiama lo 011 852559. Non inviare password o accessi.

Fonti

Scheda compilata in automatico il 20 ottobre 2026 dalle fonti indicate, secondo le regole redazionali di ipfacile. Testo non rivisto da una persona prima della pubblicazione. Hai trovato un errore? Segnalacelo.

Vedi tutti gli avvisi della settimana Vulnerabilità, sanzioni del Garante ed edizioni, in un'unica pagina.

Parla con un tecnico FENIVA

ipfacile è un servizio informativo di FENIVA S.R.L., Torino, che dal 2004 progetta e segue reti, impianti di videosorveglianza e dispositivi connessi, con un DPO certificato interno. Se hai un dubbio su un apparato della tua rete, puoi parlarne con un tecnico.

Indica marca, modello e versione firmware, se li conosci. Non inviare mai password, codici o accessi: un eventuale collegamento da remoto si concorda dopo, con una procedura scritta.