QNAP 協調式弱點揭露政策

版本：1.0

生效日：2026 年 8 月 28 日

最後修訂日：2026 年 8 月 28 日

QNAP 至少每年檢視本政策一次，以確保其為最新狀態。

發布單位：QNAP Systems, Inc. Product Security Incident Response Team（PSIRT）

QNAP 致力於提供安全且值得信賴的產品與服務，並重視安全研究人員、客戶、合作夥伴及其他外部人士所提供的資安弱點資訊。為促進負責任且有效率的弱點處理與揭露，QNAP 建立協調式弱點揭露（Coordinated Vulnerability Disclosure，CVD）機制。若您發現 QNAP 產品或服務可能存在安全弱點，我們鼓勵您依照本政策向 QNAP 提交通報，並與我們合作，在適當的修補及風險降低措施完成前，妥善保護相關弱點資訊。

1. 適用範圍

本政策適用於 QNAP 所提供之產品、軟體、韌體、應用程式、相關服務，以及 QNAP 對外提供之網站與基礎設施中可能存在的安全弱點，並依各產品之支援政策及支援期間提供安全維護。涉及第三方或開源元件之弱點，QNAP 將視個案評估其於 QNAP 產品中之實際影響，並於必要時與相關方協調處理。

經第 2 節所列通報管道提交之通報，QNAP 均會受理並檢視；經評估不具實質安全影響者，QNAP 會依據內部流程回覆評估結果或協助轉介至技術支援管道。

弱點之適格判定

QNAP 依下列條件判定是否構成有效弱點通報：

1. 該弱點影響 QNAP 之產品或服務；
2. 該通報屬於尚未公開之資訊；
3. 該通報非僅為自動化工具或掃描結果而未附佐證文件。

QNAP 對安全弱點通報之受理與處理，不以通報者具備特定資格為前提，亦不會要求通報者簽署保密協議（NDA）作為受理、處理或獎勵之條件。是否符合獎勵資格，另依 QNAP 公布之 Security Bounty Program 條款認定，與本政策之受理及處理義務無涉。

2. 如何通報安全弱點

(1) 一般通報

一般弱點通報請參考 QNAP Security Advisories 頁面進行。下列情形原則上不屬於本政策之受理範圍：

• 已公開揭露之弱點，或已列於 QNAP Security Advisory、CVE 等公開資安通報清單者
• 已由 QNAP 發布修補程式或緩解措施之已知弱點
• 其他廠商產品之弱點，或就該等弱點請求進一步資訊者
• qnap.com 以外之網站或非 QNAP 營運之服務所發現之弱點
• 行動裝置上發現之惡意軟體
• 僅為自動化工具或掃描結果，未附佐證文件者
• 技術支援、產品設定、系統更新、硬體報修，或協助安裝修補程式等非資安通報事項

屬技術支援或產品使用問題者，請透過 QNAP 客戶服務提出；其餘上列情形無需通報。

(2) 特殊通報

QNAP 另提供以下特殊通報管道，請依您所觀察到的情形選擇：

若您掌握之資訊顯示弱點已遭實際利用，或發現可能對 QNAP 產品或其使用者造成重大安全影響之事件，請儘速透過 CRA 通報平台通報。

您僅需描述所觀察到的事實與證據；是否符合 CRA 法定通報條件之分類將由 QNAP 判定，通報者無須自行認定。惟為使通報進入正確之處理流程，請依前表之順序判斷並選擇對應管道；僅於弱點已遭實際利用或已發生重大資安事件時，始使用 CRA 通報平台。

為協助 QNAP 分析與處理，請盡可能提供下列資訊：

• 受影響之產品、型號及軟體／韌體版本
• 弱點說明
• 事件發生時間
• 已觀察到之影響
• 攻擊或利用方式
• Indicators of Compromise（IoC）
• Log、封包、截圖等佐證資料
• 已知之弱點識別碼（如 CVE、EUVD）
• 可供 QNAP 聯繫的聯絡資訊

若通報內容涉及敏感資訊，建議使用 QNAP 提供之 PGP Public Key 加密後再進行傳送。QNAP 支援 RFC 9116 所定義之 security.txt 標準，檔案位於 https://www.qnap.com/.well-known/security.txt，提供官方安全聯絡方式、通報管道入口、本政策連結及加密資訊。請以線上最新版本為準。

3. QNAP 的處理方式

QNAP 將依通報內容及通報管道，依法採取適當的弱點處理或資安事件應變程序。

(1) 一般產品安全性弱點通報之處理

QNAP 於受理通報後，將確認通報內容並建立追蹤紀錄，必要時與通報者聯繫取得補充資訊，進行弱點驗證與風險評估，並協調相關產品及開發團隊進行調查、根因分析及必要之安全更新、修補或其他降低風險措施。

(2) 遭主動利用之弱點或已確認之重大資安事件

此類通報將進入 QNAP 之資安事件及 CRA 應變處理流程。QNAP 將依所取得資訊進行事件確認及影響評估，並判斷是否符合歐盟《Cyber Resilience Act（CRA）》所規定之強制通報條件。如經評估符合，QNAP 將依適用法規要求，透過 CRA Single Reporting Platform（SRP）向指定之 Coordinating CSIRT 及 ENISA 完成法定通報。QNAP 亦將視實際風險採取必要之調查、風險降低、安全修補及使用者通知等措施。

QNAP 已依 CRA 第 14 條第 7 項選定 CERT-Bund（德國）為其對應之國家 CSIRT，並於單一弱點之處理期間維持同一窗口。完成初次通報後，QNAP 將就所有新增資訊、緩解措施及其實施時程持續通知該 CSIRT，並與之協調。

(3) Security Bounty Program 通報之處理

符合 Security Bounty Program 適用範圍及資格條件之弱點，可能有資格獲得獎勵；其適用產品、弱點類型、獎勵條件、排除項目及其他規則，以 QNAP 公布之條款為準，提交通報並不代表必然符合獎勵資格（QNAP Security Bounty Program）。

(4) 弱點編號與安全公告

QNAP 將依弱點性質、影響程度及適用規範，評估是否指派或協調 CVE 編號。對使用者具有安全影響且需公開說明之弱點，QNAP 將透過 Security Advisories、產品更新說明或其他適當方式發布相關資訊。公開資訊之內容與時程，以降低使用者安全風險為優先考量。

涉及法定通報義務者，QNAP 將依法定時限辦理。部分安全問題需較長時間進行調查、跨產品影響分析、根因確認、修補開發及驗證，實際處理時間依弱點或事件之複雜度及影響範圍而有所不同。QNAP 將於處理期間與通報者保持適當溝通。

4. 協調式揭露原則

為降低弱點遭惡意利用並保護使用者，在 QNAP 完成調查及提供適當修補或降低風險措施前，我們請通報者與 QNAP 協調弱點資訊之公開時程。在協調處理期間，請避免未經協調即公開尚未修補之弱點技術細節或可直接用於攻擊之弱點利用程式、將弱點資訊提供予可能據以進行惡意活動之第三方，以及進行可能造成服務中斷、資料損失或影響其他使用者之測試。

QNAP 將依弱點風險、修補進度、使用者保護需求及其他相關因素，與通報者協調合理之揭露方式與時程。涉及遭主動利用之弱點或重大資安事件者，其揭露內容與時程可能另受適用法規要求及主管機關指示影響。

5. 通報流程結束

QNAP 於下列情形視流程為完成：

1. 通報所指之情形經查為無根據；
2. 服務（如網頁服務）之弱點已修復並經公開揭露；
3. 弱點已由適當之修補程式緩解或修復，並經公開揭露；
4. 通報者逾 30 日未回應技術或內容相關之詢問，致該通報僅能有限度處理或無法處理；
5. 弱點已公開揭露，且經與對應之國家 CSIRT 協商後，已無法認為該弱點將被緩解或修復。

6. 安全研究準則與安全港條款

QNAP 支持善意且負責任的安全研究。進行安全研究時，請遵循適用法律，並避免對 QNAP、QNAP 客戶或其他第三方造成不必要的影響。

進行安全研究時，請勿：

• 破壞、修改或刪除非研究者本人擁有之資料
• 未經授權存取、下載或散布個人資料或其他機密資訊
• 執行可能造成系統或服務不可用之 DoS/DDoS 測試
• 對 QNAP 員工、客戶或合作夥伴進行社交工程或網路釣魚
• 進行實體攻擊或未經授權之實體存取
• 進行超出確認弱點存在所合理必要範圍之操作
• 將弱點用於任何非法或惡意目的

若研究過程中意外取得非預期之資料或系統存取權限，請停止進一步存取，並儘速通知 QNAP。

對於依本政策及上述準則善意進行之安全研究，QNAP 不會對研究者採取法律行動，亦不視為違反 QNAP 服務條款或使用者授權合約。本保護以研究行為未逾越本政策範圍為前提；逾越者，QNAP 將視個案評估。如您不確定所規劃之研究是否屬本政策範圍，可事先與 QNAP PSIRT 聯繫確認。即使通報者未完全遵守上述準則，QNAP 仍會盡最大可能處理其通報。QNAP 期待所有參與者相互尊重，本流程不容許任何歧視、性別歧視或侮辱性言行。

7. 保密與資訊使用

每一份弱點通報，QNAP 均於法律允許範圍內以機密方式處理；惟為公開揭露弱點所必需之資訊，不在此限。

QNAP 將基於弱點處理與修補、法定通報及產品安全改善等目的，處理通報者所提供之資訊。必要時，相關資訊可能提供予 QNAP 內部負責產品安全、產品開發或法務之單位。除法律或 CRA 法定通報義務要求外，非經您明示同意，QNAP 不會將您的個人資料提供予第三方。

通報者所提供之個人資料，QNAP 將依 QNAP 隱私權政策於必要範圍內處理及保存。QNAP 將依資訊敏感程度採取適當之保護措施。