Synology corrige deux failles de DSM, dont une notée 9,8, sans contournement

Synology a publié le 10 novembre 2026, à 17 h 06 heure de Taipei (10 h 06 à Paris), l’avis Synology-SA-26:19 : deux failles de DiskStation Manager (DSM), le système de ses boîtiers de stockage, dont une notée 9,8 sur 10, et aucun contournement.

L’avis ne cite pas de modèle. Il vise les branches DSM 7.4, 7.3, 7.2.2 et 7.2.1. Un NAS resté sur l’une de ces branches, sans le numéro de version corrigé, est donc dans le périmètre. Synology ne signale pas, dans cet avis, une exploitation déjà constatée.

Une injection dans l’authentification, notée 9,8

CVE-2026-76954 est classée critique, score CVSS 3.1 de 9,8, vecteur réseau, sans identifiant et sans action de la victime. Synology la situe dans l’API d’authentification : une neutralisation insuffisante d’éléments spéciaux dans une commande SQL. L’effet décrit est la lecture ou l’écriture de fichiers arbitraires, et un déni de service, à distance. Les versions corrigées sont DSM 7.2.1-69057-13, 7.2.2-72806-10, 7.3.2-86009-5 et 7.4.1-90080-1, ou plus récentes.

CVE-2026-85101 est classée importante, score 8,6. Elle concerne rsync, l’outil de synchronisation. Synology parle d’un contournement d’authentification par un chemin alternatif. L’attaquant distant peut lire certains fichiers, en écrire d’autres sans restriction de ce type, et provoquer un déni de service limité. Les mêmes numéros de version ferment la faille. La confidentialité est notée plus bas que pour la première, l’intégrité reste haute.

Les versions à atteindre

Le tableau de l’avis est le suivant. DSM 7.4 : 7.4.1-90080-1 ou au-dessus. DSM 7.3 : 7.3.2-86009-5 ou au-dessus. DSM 7.2.2 : 7.2.2-72806-10 ou au-dessus. DSM 7.2.1 : 7.2.1-69057-13 ou au-dessus. La ligne « atténuation » dit « aucune ». Synology remercie Nguyễn Bá Nam Dũng et Hà Thế Long, du Viettel Cyber Security Research Lab, ainsi que Warisse Valentin (Aytio).

La mise à jour se lance dans DSM, panneau de configuration, mise à jour et restauration. Le numéro affiché se compare à la ligne de sa branche, pas à la branche d’un voisin : un boîtier en 7.3 n’a pas à sauter en 7.4 pour être corrigé, il doit atteindre 7.3.2-86009-5. Tant que ce numéro n’est pas installé, l’avis ne propose pas de réglage de remplacement.

Un autre avis, en septembre, ne couvre pas celui-ci

En septembre, d’autres failles de DSM avaient été corrigées dans un avis distinct, évoqué ici lorsque le rançongiciel C3RB3R a visé des NAS non mis à jour. L’avis du 10 novembre est un second train de correctifs, avec deux nouveaux identifiants. Avoir appliqué le correctif de septembre ne ferme pas CVE-2026-76954 ni CVE-2026-85101.

Synology ne demande pas, dans ce texte, d’éteindre le NAS. Il ne dit pas non plus que les boîtiers non exposés à Internet seraient hors de cause : le vecteur est le réseau, et beaucoup de NAS sont joints depuis l’extérieur pour la sauvegarde. La comparaison du numéro de version reste le contrôle que l’avis permet de faire soi-même.

Sources

Synology-SA-26:19 DSM, Synology, publié le 10 novembre 2026 à 17 h 06 UTC+8.