Zu 1:
Nein, es wird aber nicht mehr viele 4er geben. Also das Prüfen von Updates abschalten und gelegentlich mal hier im Forum oder bei QNAP nach 4er Updates schauen.
Zu 2:
So "gut" dass ich immer fester davon überzeugt bin, dass 4.5.3 für mich Endstation ist und ich mir die Frage stellen muss ob danach überhaupt nochmal ein QTS bei mir laufen sollte.
Zu 1 nein.
Zu 2 Gut.
Hier läuft die Version vom 21.12.21 und das total unauffällig und stabil.
Den Weg den du als umständlich beschreibst, ist hier der einzige wie Firmware Updates passieren.
Denn so habe ich, für den Fall der Fälle immer eine ältere Version im Archiv.
Denn irgendwann gibt es bestimmt Versionen nicht mehr so einfach zum Download.
Mein 453BE hat auch gestern, trotz deaktiviertem Auto-Update auf 5.0.0.1891 aktualisiert.
Unfassbar, was QNAP sich da erlaubt.
Mein NAS ist von außen nicht erreichbar und ist es nie gewesen
Ich war auf 4.5.4 Build 1900, hatte auf Update prüfen und benachrichtigen aktiv, definitiv kein Auto-Update
Jetzt weiß ich auch, warum mein Kodi auf der Shield sich so seltsam verhalten hat 
Zumindest ist mir bis jetzt nichts negatives aufgefallen.
Da bist Du Dir zu 100%, nein zu 1000% sicher?
Die letzte v4.5.4 hat Auto-Update per default eingeschaltet (so sagt man).
Mir fällt es immer noch schwer zu glauben, das QNAP hier trotz deaktiviertem Auto-Update ein Zwangsupdate vornimmt. 
Aber man muss leider sagen, das bei QNAP wohl alles möglich ist. 
Gruss
Edit: Hammer: Zwangsupdate!
Aber ich kenne auch andere Hersteller, die in bestimmten Situationen sagen: keine Daten sind besser als kompromittierte Daten!
Die letzte v4.5.4 hat Auto-Update per default eingeschaltet (so sagt man).
In die Falle bin ich auch mal getappt, als sich ungefragt ein System aktualisierte. Ab irgendeiner 4.5.4.x ist das Auto Update aktiv. Und das muss man nach jedem Update selbst wieder ausschalten, wenn man das nicht will.
Gerade festgestellt: Das QNAP ist auf QTS5.0.0 aktualisiert worden, nachts. Wir hatten Auto-Update ausgeschaltet. Allerdings habe ich nach dem letzten Update nicht danach geschaut, ob die Einstellung durch das Update verändert wurde. In so einem Falle erwarte ich eine Information ("wollen Sie das wirklich?")!
Ist mir jetzt auch passiert, habe ungefragt die 5.0.0.1891 bekommen, bisher hat mich da NAS immer gefragt ob ich aktualisieren will.
Das ist ein absoluter Vertrauensbruch!
Aber ich kenne auch andere Hersteller, die in bestimmten Situationen sagen: keine Daten sind besser als kompromittierte Daten!
Ich würde es nicht Vertrauensbruch nennen, aber anders vorzugehen wäre geschickter!
Und tatsächlich ist ein Ausfall in 9 von 10 Fällen besser als ein Malwarebefall.
Da aber offenbar der Angriffsvektor nicht bekannt ist, war das wohl die Flucht nach vorn.
Aber das allein hilft nicht, es gibt jetzt schon mehrere Nutzer, die trotz 5.0.0.1891 infiziert wurden!
Insofern zeigt das auch eine gewisse Hilflosigkeit von QNAP.
Gruss
Sie sollten wenigstens prüfen, ob das NAS überhaupt vom Internet erreichbar ist. Alles Andere ist fahrlässig, da ein Datenverlust billigend in Kauf genommen würde.
Bei diesen NAS besteht ja offenbar gar kein Befallsrisiko. Irgendwie will ich das nicht glauben. Naja, mein NAS ist noch ausgeschaltet. Auch ich habe die automatischen Updates und auch die Prüfung abgeschaltet. Wird sich zeigen, was passiert.
Mein 653D wurde auch zwangsweise auf die 5er gehoben. Auch ich bin der Meinung, dass das ein absolutes Unding ist! Man hätte ja wenigstens mal informieren können. Was noch viel toller ist bei dem Upgarde: die Mulitmedia Konsole - unsägliches Teil und wird von mir nicht genutzt, bzw. war unter 4.5.x nicht installiert, war nach dem Update installiert, inklusive standardmäßigem "Multimedia" Freigabeordner auf dem System Volume. Dumm nur, dass ich bereits einen "Mulitmedia" Ordner auf einem anderen Volume liegen hatte. Das kann man doch vorher prüfen, was installiert war und was nicht und diesen Zustand nach dem Update auch wieder herstellen. Wenn das so weitergeht mit Qnap war die 653D die letzte Qnap die ich gekauft habe ...
Mein 251D hat keinen Zugang zum Internet. Der Zugang ist in der Fritzbox gesperrt.
Beim Anmelden werden zwar gelegentlich Fehlermeldungen bzgl. dem fehlenden Internetzugriff angezeigt. Diese kann man aber ignorieren.
Die Firmware wird manuell aktualisert.
Für das Aktualisieren der APPS habe ich bisher gezielt kurzzeitig den Internetzugriff freigeschaltet.
Apps kann man doch auch manuell updaten..warum also nicht konsequent bleiben?
Bis zum letzten QTS 4.5.4.1800 build 20210923 Update habe ich auch hier kurzzeitig den Internetzugriff freigeschaltet.
Beim Update auf QTS 4.5.4.1892 build 20211223 wollte die Echtzeit-Aktualisierung das Update auf die QTS 5.0.0.1891 build 20211221 durchführen (ich aber nicht). Dann wurde erstmals die manuelle Firmwareaktualisierung über die Imagedatei TS-X53D_20211223-4.5.4.1892.img durchgeführt.
Vermutlich werde ich dieses Verfahren auch bei der Aktualisierung der APPS nutzen.
die Mulitmedia Konsole ... war unter 4.5.x nicht installiert, war nach dem Update installiert
Die war bis QTS 5 Teil des Systems, wurde erst mit 5 überhaupt deinstallierbar!
Das ist eindeutig ein Vorteil von QTS 5.x, denn das Teil konnte man hier erstmals sauber über due GUI dauerhaft entfernen. Bei QTS 4.5 konnte man das nur per ssh bis zum nächsten Update killen.
Was dir mit der Freigabe passiert ist, ist nicht schön aber bei default Freigaben muss man immer aufpassen! Ich nutze die daher gar nicht für Daten, außer Public wo Syslog rein läuft.
Bin mir nicht sicher, ob das OT ist, aber:
Ich hab mal in den Logs meiner verschiedenen NAS Systeme nachgeschaut, da sich alle bis auf eines meiner Systeme auf QTS 5.0.0.1891 aktualisiert haben.
Das eine System, welches sich bisher nicht aktualisiert hat, wurde am 19.10.2021 auf QTS 5.0.0.1808 Build 20211001 aktualisiert.
Außerdem habe ich folgende Logeinträge:
Information 2021-06-01 09:25:29 admin 192.168.1.10 Firmware Update Firmware Update [Firmware Update] Disabled auto update for "Recommended version".
Information 2021-06-01 09:09:04 admin 127.0.0.1 Firmware Update Firmware Update [Firmware Update] Updated system from version 4.5.2.1630(20210406) to 4.5.3.1670(20210515).Alle Systeme, die automatisch am 27.01. aktualisiert wurden, hatten keinen Eintrag mit Disabled auto update in QuLog Center.
Vllt hilft die Info jmd.
So, mein TS-253pro ist nun an. Sicherheitshalber nochmal das Backup aktualisiert bei getrennter Internetverbindung, 2mal gebootet und soweit kein automatisches Upgrade oder irgendeine auffällige Meldung über ein Update in Sicht. Den Security Counselor habe ich manuell mal laufen lassen, aber er meldet wie immer nur, dass QTS 5 noch nicht installiert ist.
Das NAS läuft mit 4.5.4.1892, im den Einstellungen zur Firmwareaktualisierung ist alles deaktiviert.
Immerhin hat jetzt das "Kapazität erweitern" des RAID 1 mit "Laufwerke einzeln ersetzen" endlich funktioniert!
Mich hat es auch erwischt. Am 27.01. von 4.5.4 .1892 auf 5.0.0.1891
War eigentlich auch der Meinung, ich hätte Auto-Update ausgeschaltet. Allerdings gibt es einige Punkte, die dagegen sprechen:
Auch nach dem Update meldet mir der Security Counselor am 28.01. "The NAS is not automatically checking if new versions of firmware are available". Demnach sollte man davon ausgehen, dass keine Auto-Updates erfolgen. Aber - das stimmt nicht!
Zwar ist unter Live-Update die Option "Automatically check if a new version is available when logging into the NAS web administration interface" deaktiviert und unter Auto-Update die Option "Latest version" deaktiviert. Die Option "Recommended version" unter Auto-Update war zum Zeitpunkt des Security Counselor Laufs aber aktiv.
Nachdem ich diese Option deaktiviert habe, bekomme ich, wie auch von user374815 geschrieben einen Logeintrag 'Disabled auto update for "Recommended version".' Und genau diesen Eintrag gibt es in meiner Log-Historie davor nicht.
Entweder wurde also dieser Log-Eintrag in früheren Versionen nicht generiert, oder ich bin selbst Schuld 
Habe schon immer alles bei Autoupdate deaktiviert, da ich Firmwares und die meisten Apps mittlerweile händisch update. Bin auch immer noch auf der 4.5.4 1892. Insofern spricht einiges dafür, dass das "Zwangsupdate" nur erfolgt, wenn man einen der Haken an hat, wie andre-z schon über mir geschrieben hat.
Für das NAS (bzw. dessen interne IP) an sich sind auch outbound nur whitegelistete Domains erlaubt und der Aufruf direkter IPs verboten. qnap.com schmeiße ich jetzt aber auch mal eine Zeitlang von der Whitelist runter.
Ansonsten habe ich sogar eine Portfreigabe eingerichtet, aber die betrifft einen einzelnen rtorrent-Dockercontainer der Containerstation mit eigener interner IP. Bisher konnte noch kein Angreifer diese containerisierte Lösung überwinden. Zumal ja auch entsprechende spezielle Exploits in rtorrent bzw. der Station für einen Angriff nötig wären.
