Synology a publié le 10 novembre 2026 un bulletin de sécurité classé critique pour DSM, le système de ses serveurs de stockage en réseau (NAS). La faille principale, CVE-2026-76954, obtient 9,8 sur 10 et permet à un attaquant distant de lire ou d’écrire des fichiers sur l’appareil. Aucun contournement n’existe : seule la mise à jour protège. Il s’ajoute à une série d’alertes visant les NAS Synology depuis le 22 octobre.
Deux failles réseau, dont une sans authentification
Le bulletin Synology-SA-26:19 décrit deux vulnérabilités. La première, CVE-2026-76954, est une injection SQL dans l’interface d’authentification de DSM, notée 9,8 selon le barème CVSS 3.1. Synology indique qu’un attaquant distant peut s’en servir pour lire ou écrire des fichiers arbitraires et provoquer un déni de service. Le vecteur publié ne requiert ni droits préalables ni action de l’utilisateur.
La seconde, CVE-2026-85101, notée 8,6, est un contournement d’authentification dans le service rsync, l’outil de synchronisation de fichiers entre machines. Selon Synology, elle permet de lire certains fichiers, d’écrire des fichiers arbitraires et de provoquer un déni de service limité.
Le constructeur crédite deux chercheurs du laboratoire Viettel Cyber Security, Nguyễn Bá Nam Dũng et Hà Thế Long, ainsi que Warisse Valentin. Le bulletin a été mis à jour le 13 novembre.
Vingt-cinq autres failles dans un second bulletin
Le bulletin SA-26:19 n’évoque que deux failles, mais Synology a publié le même jour un second bulletin, Synology-SA-26:18, classé important, qui en corrige vingt-cinq autres : huit jugées importantes et dix-sept modérées. La plus sévère, CVE-2026-13672, notée 8,8, est un contournement d’autorisation dans le module d’authentification unique SSOAuth, exploitable par un utilisateur déjà authentifié. Ce second bulletin ne vise que DSM 7.4 et 7.3, avec les mêmes versions corrigées. Daily Security Review chiffre ainsi l’ensemble à 27 vulnérabilités, dont une critique, neuf élevées et dix-sept moyennes, et précise qu’aucune exploitation ni aucun code d’attaque public n’étaient connus au moment de la publication.
Les versions corrigées indiquées par le bulletin SA-26:19, et reprises par le média, sont les suivantes :
- DSM 7.4 : 7.4.1-90080-1 ou ultérieure ;
- DSM 7.3 : 7.3.2-86009-5 ou ultérieure ;
- DSM 7.2 : 7.2.2-72806-10 ou 7.2.1-69057-13, ou ultérieures.
Chaque branche maintenue reçoit donc son propre correctif, sans saut de version imposé. Le bulletin ne précise pas clairement quelle version de DSM 7.2 s’applique à quel sous-ensemble d’appareils : il faut vérifier dans le centre de téléchargement Synology le fichier adapté à son modèle.
Des NAS sous pression depuis fin octobre
Ce bulletin fait suite, entre autres, à deux alertes d’octobre. Le 29 octobre, Synology a publié un communiqué exhortant ses clients à mettre DSM à jour après avoir repéré des attaques par rançongiciel contre des appareils restés sur des versions obsolètes. Les pirates exploitaient une faille pourtant corrigée en décembre 2024, référencée Synology-SA-24:20. Le constructeur recommande d’activer les mises à jour automatiques.
Une semaine plus tôt, le 22 octobre, Synology avait publié le bulletin Synology-SA-26:14, classé critique, pour deux failles de PHP notées 9,8, CVE-2026-109618 et CVE-2026-109619, qui figurent dans l’alerte publiée par le CERT-FR à partir du 21 octobre. Les paquets PHP 7.4 à 8.4, Synology Calendar et Mail Station ont reçu des correctifs, étendus les 29 et 31 octobre aux appareils sous DSM 6.2, 7.0 et 7.1 ; PHP 7.3, en fin de vie, n’en recevra pas. Synology juge très faible le risque lié au PHP intégré au système, qu’il dit non exposé aux attaques extérieures.
Le point commun de ces épisodes tient en une phrase : un NAS est un serveur à part entière, qui se met à jour comme tel. Les attaques par rançongiciel du mois d’octobre ciblaient précisément des machines qui n’avaient pas reçu un correctif disponible depuis près de deux ans.
Les gestes à faire dès maintenant
- Installer la mise à jour correspondant à sa branche de DSM, depuis le panneau de configuration ou le centre de téléchargement.
- Retirer l’interface d’administration d’Internet : Daily Security Review souligne que les appareils dont la gestion est accessible en ligne courent le risque le plus élevé, et recommande de restreindre les réseaux autorisés à joindre le NAS ; selon le média, un appareil accessible seulement par VPN ou placé derrière un pare-feu court un risque pratique plus faible.
- Ne pas s’en remettre au seul pare-feu : le média juge la mise à jour souhaitable même pour les appareils protégés, la faille principale s’exploitant à distance sans identifiant.
- Revoir l’usage de rsync et vérifier l’intégrité des sauvegardes, puisque la seconde faille vise ce service.
Questions fréquentes
Mon NAS Synology est-il concerné ?
Oui s’il tourne sous DSM 7.2, 7.3 ou 7.4 dans une version antérieure aux builds corrigés listés par Synology. Le numéro exact se lit dans le panneau de configuration, rubrique mise à jour.
Existe-t-il une solution sans mettre à jour ?
Non. Le bulletin Synology ne propose aucune mesure d’atténuation. Limiter l’accès réseau à l’appareil réduit l’exposition en attendant, mais ne corrige rien.
La faille est-elle déjà exploitée ?
Aucune exploitation n’était signalée lors de la publication, selon Daily Security Review. Les attaques par rançongiciel signalées fin octobre visaient une autre faille, plus ancienne.
Sources
- Synology-SA-26:19 DSM — Synology, 2026-11-10
- Synology Patches 27 DSM Flaws, Including CVSS 9.8 SQL Injection — Daily Security Review, 2026-11-11
- Synology exhorte les utilisateurs à mettre à jour DSM à la suite d'attaques par ransomware visant des versions obsolètes de DSM — Synology, 2026-10-29
- Synology-SA-26:18 DSM — Synology, 2026-11-10
- Synology-SA-26:14 PHP2Shell — Synology, 2026-10-22
- CERTFR-2026-ALE-014 — Multiples vulnérabilités dans PHP — CERT-FR, 2026-10-21