JVN iPediaは2026年10月19日、QNAP SystemsのVideo Stationに関する脆弱性情報を掲載しました。確認すべき脆弱性は4件あり、情報漏えいや不正なコード実行などの恐れがあります。4件とも修正された版は5.8.8以降で、5.8.5に更新済みでも確認が必要です。
修正版は2段階、5.8.5では残る脆弱性も
今回の確認対象は、ファイルへのアクセスに関わるパストラバーサル2件と、データベースへの問い合わせ処理を悪用するSQLインジェクション2件です。利用している版によって、影響を受ける脆弱性が異なります。
- CVE-2025-66272、CVE-2025-66275：対象はVideo Station 5.8.0以上5.8.5未満です。いずれもパストラバーサルで、5.8.5以降で修正されています。
- CVE-2026-26244、CVE-2026-26245：対象はVideo Station 5.8.0以上5.8.8未満です。いずれもSQLインジェクションで、5.8.8以降で修正されています。
更新済みという記録だけでは、4件への対応が済んだか判断できません。5.8.5以上5.8.8未満の環境では、前者の2件は修正済みでも、後者の2件は影響範囲に入ります。更新作業の実施日だけでなく、現在のバージョンを確認する必要があります。
アカウント取得後の攻撃で情報漏えいや不正実行の恐れ
JVNによると、パストラバーサルの2件は、アカウントを取得した遠隔攻撃者によって悪用される恐れがあります。CVE-2025-66272ではファイルやシステムデータの読み取り、CVE-2025-66275でも情報漏えいの恐れが示されています。
SQLインジェクションのCVE-2026-26244では、アカウントを取得した遠隔攻撃者による不正なコードやコマンドの実行が想定されています。CVE-2026-26245では、情報漏えい・改ざんや、ソフトウェアの完全停止の恐れがあります。
深刻度の指標であるCVSS v3基本値は、NVD評価でパストラバーサルの2件がそれぞれ6.5の「警告」、SQLインジェクションの2件がそれぞれ8.8の「重要」です。情報の読み取りだけでなく、処理の実行や停止に関わるため、対象版の確認と更新の調整を進めてください。
影響する会社・しない会社
- 影響する: Video Station 5.8.0以上5.8.5未満を利用する会社は、4件すべての影響範囲に入ります。
- 影響する: Video Station 5.8.5以上5.8.8未満を利用する会社は、SQLインジェクション2件の影響範囲に入ります。5.8.5への更新だけでは、今回の4件すべてへの対応にはなりません。
- 影響しない: Video Station 5.8.8以降を利用する会社では、今回の4件は修正済みです。これは、この4件に限った判断です。
- 影響しない: Video Stationを利用していない会社は、今回示された対象製品には該当しません。他の製品の安全性を示す情報ではありません。
情シスが今日やること
以下は社内で進める確認手順の提案です。
- 今日中に利用有無と管理担当者を確認する。 資産台帳や運用記録からVideo Stationを使う環境を洗い出します。委託管理の場合は、委託先に現在のバージョンの回答を依頼してください。
- 各環境の管理画面で現在の版を記録する。 Video Stationのバージョンを確認できる箇所を開き、環境ごとに記録します。資料には具体的な画面名や操作経路は書かれていません。更新履歴だけで判断せず、現在の版を確認してください。
- 対象環境の運用担当者に更新を依頼する。 5.8.0以上5.8.8未満なら、該当する脆弱性と5.8.8以降で修正済みであることを伝えます。今日中に担当者と更新予定日を決め、利用部門にも作業予定を共有してください。
- 更新後の版を確認して記録を閉じる。 作業後は管理画面で5.8.8以降になったことを確認し、更新前後の版と作業日を台帳に残します。未対応の環境は、担当者と予定日を付けて継続管理してください。
