CVE-2026-22901QuNetSwitch存在严重的远程命令注入漏洞。该漏洞源于系统未能充分过滤用户输入，允许未经身份验证的远程攻击者通过网络向量执行任意操作系统命令。此漏洞的CVSS v3.1评分为9.8，属于严重级别。成功利用后，攻击者可完全控制受影响系统，导致数据泄露、数据篡改及服务中断。QNAP已发布相关安全更新，建议受影响用户立即采取行动。
该漏洞主要影响QuNetSwitch网络管理组件。在特定接口处理请求时，应用程序未能对输入参数进行严格的边界检查和特殊字符过滤，导致攻击者能够注入恶意Shell命令。尽管漏洞描述提及获取用户账户，但CVSS向量明确显示PR:N（无需认证），表明攻击者无需预先凭据即可利用此漏洞。攻击者可构造包含特定分隔符（如; || &）的HTTP请求，将恶意命令拼接到合法的系统指令中。由于程序以高权限运行，注入的命令将在服务器端被解析执行，从而允许攻击者获取系统Shell权限，进行进一步的恶意操作。