Kerngegevens
- Leverancier
- QNAP
- Product
- Notes Station 3
- Soort software
- opslag
- Getroffen versies
- Notes Station 3 vanaf 3.9.x tot 3.9.11
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Notes Station 3 3.9.11
- CVE gepubliceerd
- 15 oktober 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Notes Station 3 van QNAP zit een fout in de manier waarop onderdelen van elkaar gescheiden worden gehouden. Een aanvaller die al toegang heeft tot een beheerdersaccount kan dit misbruiken om de beveiliging van het systeem verder te ondermijnen. De leverancier heeft het lek verholpen in een nieuwere versie.
Wie loopt risico?
Je loopt risico als je Notes Station 3 gebruikt op een QNAP-systeem, in een versie vanaf 3.9.x tot 3.9.11. De aanvaller moet lokaal werken en beschikt al over een beheerdersaccount, dus het lek is vooral een risico als zo'n account op een andere manier in verkeerde handen is gekomen. In de gegevens staat geen aanwijzing dat het lek actief wordt misbruikt.
Wat moet je doen?
Controleer je versie
Kijk in het beheerscherm van je QNAP-systeem welke versie van Notes Station 3 je gebruikt. Versies vanaf 3.9.x tot 3.9.11 zijn getroffen.
Werk Notes Station 3 bij
Installeer Notes Station 3 versie 3.9.11 of nieuwer. Die versie bevat de oplossing van de leverancier.
Beperk beheerdersaccounts
Controleer wie er beheerdersrechten heeft, verwijder accounts die niet nodig zijn en gebruik sterke, unieke wachtwoorden voor de overige beheerdersaccounts.
Controleer ook het verwante lek
Voor CVE-2026-34008 geldt hetzelfde advies. Met de update naar de genoemde versie pak je dus beide meldingen aan.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-34008. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een zwakte van het type onjuiste isolatie of compartimentering (CWE-653) in Notes Station 3. Door onvoldoende scheiding tussen onderdelen kan een aanvaller met lokale toegang en een beheerdersaccount de veiligheid van het systeem aantasten. De CVSS 4.0-vector (AV:L/AC:L/AT:N/PR:H/UI:N) wijst op een lokale aanvalsroute met lage complexiteit, hoge vereiste rechten en zonder gebruikersinteractie. De impact op vertrouwelijkheid, integriteit en beschikbaarheid van het getroffen systeem is hoog. De leverancier meldt dat het lek is opgelost in Notes Station 3 3.9.11 en later.
CVSS-vector (versie 4.0, basisscore 8,4, bron: CNA)
CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-653 · Onjuiste isolatie of compartimentering
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,1%
- Aanvalscode openbaar
- Nee