Synology publicó el 10 de noviembre de 2026 un boletín de seguridad clasificado como crítico para DSM, el sistema de sus servidores de almacenamiento en red (NAS). La falla principal, CVE-2026-76954, obtiene un 9,8 sobre 10 y permite a un atacante remoto leer o escribir archivos en el dispositivo. No existe ninguna solución alternativa: solo la actualización protege. Se suma a una serie de alertas dirigidas a los NAS de Synology desde el 22 de octubre.
Dos fallas de red, una de ellas sin autenticación
El boletín Synology-SA-26:19 describe dos vulnerabilidades. La primera, CVE-2026-76954, es una inyección SQL en la interfaz de autenticación de DSM, con una nota de 9,8 según la escala CVSS 3.1. Synology indica que un atacante remoto puede utilizarla para leer o escribir archivos arbitrarios y provocar una denegación de servicio. El vector publicado no requiere privilegios previos ni acción alguna del usuario.
La segunda, CVE-2026-85101, con una nota de 8,6, es una omisión de autenticación en el servicio rsync, la herramienta de sincronización de archivos entre máquinas. Según Synology, permite leer ciertos archivos, escribir archivos arbitrarios y provocar una denegación de servicio limitada.
El fabricante atribuye el hallazgo a dos investigadores del laboratorio Viettel Cyber Security, Nguyễn Bá Nam Dũng y Hà Thế Long, así como a Warisse Valentin. El boletín se actualizó el 13 de noviembre.
Otras veinticinco fallas en un segundo boletín
El boletín SA-26:19 solo menciona dos fallas, pero Synology publicó el mismo día un segundo boletín, Synology-SA-26:18, clasificado como importante, que corrige otras veinticinco: ocho consideradas importantes y diecisiete moderadas. La más grave, CVE-2026-13672, con una nota de 8,8, es una omisión de autorización en el módulo de inicio de sesión único SSOAuth, explotable por un usuario ya autenticado. Este segundo boletín solo afecta a DSM 7.4 y 7.3, con las mismas versiones corregidas. Daily Security Review cifra así el conjunto en 27 vulnerabilidades, una crítica, nueve altas y diecisiete medias, y precisa que en el momento de la publicación no se conocía ninguna explotación ni ningún código de ataque público.
Las versiones corregidas indicadas en el boletín SA-26:19, y recogidas por el medio, son las siguientes:
- DSM 7.4: 7.4.1-90080-1 o posterior;
- DSM 7.3: 7.3.2-86009-5 o posterior;
- DSM 7.2: 7.2.2-72806-10 o 7.2.1-69057-13, o posteriores.
Cada rama mantenida recibe, por tanto, su propio parche, sin un salto de versión obligatorio. El boletín no precisa con claridad qué versión de DSM 7.2 corresponde a qué subconjunto de dispositivos: hay que comprobar en el centro de descargas de Synology el archivo adecuado para cada modelo.
NAS bajo presión desde finales de octubre
Este boletín llega tras, entre otras, dos alertas de octubre. El 29 de octubre, Synology publicó un comunicado en el que instaba a sus clientes a actualizar DSM tras detectar ataques de ransomware contra dispositivos que seguían con versiones obsoletas. Los atacantes explotaban una falla que, sin embargo, se había corregido en diciembre de 2024, con la referencia Synology-SA-24:20. El fabricante recomienda activar las actualizaciones automáticas.
Una semana antes, el 22 de octubre, Synology había publicado el boletín Synology-SA-26:14, clasificado como crítico, para dos fallas de PHP con nota de 9,8, CVE-2026-109618 y CVE-2026-109619, que figuran en la alerta publicada por el CERT-FR a partir del 21 de octubre. Los paquetes PHP 7.4 a 8.4, Synology Calendar y Mail Station recibieron parches, ampliados los días 29 y 31 de octubre a los dispositivos con DSM 6.2, 7.0 y 7.1; PHP 7.3, al final de su vida útil, no recibirá ninguno. Synology considera muy bajo el riesgo relacionado con el PHP integrado en el sistema, que según la empresa no está expuesto a ataques externos.
Lo que tienen en común estos episodios cabe en una frase: un NAS es un servidor en toda regla, que debe actualizarse como tal. Los ataques de ransomware de octubre se dirigían precisamente a máquinas que no habían recibido un parche disponible desde hacía casi dos años.
Las medidas que hay que tomar ya
- Instalar la actualización correspondiente a su rama de DSM, desde el panel de control o el centro de descargas.
- Retirar la interfaz de administración de Internet: Daily Security Review subraya que los dispositivos cuya gestión es accesible en línea corren el mayor riesgo, y recomienda restringir las redes autorizadas a conectarse al NAS; según el medio, un dispositivo accesible solo por VPN o situado detrás de un cortafuegos corre un riesgo práctico menor.
- No confiar únicamente en el cortafuegos: el medio considera recomendable la actualización incluso para los dispositivos protegidos, ya que la falla principal puede explotarse a distancia sin credenciales.
- Revisar el uso de rsync y comprobar la integridad de las copias de seguridad, ya que la segunda falla afecta a este servicio.
Preguntas frecuentes
¿Está afectado mi NAS Synology?
Sí, si funciona con DSM 7.2, 7.3 o 7.4 en una versión anterior a las compilaciones corregidas que enumera Synology. El número exacto puede consultarse en el panel de control, en el apartado de actualización.
¿Existe alguna solución sin actualizar?
No. El boletín de Synology no propone ninguna medida de mitigación. Limitar el acceso de red al dispositivo reduce la exposición mientras tanto, pero no corrige nada.
¿Se está explotando ya la falla?
No se había señalado ninguna explotación en el momento de la publicación, según Daily Security Review. Los ataques de ransomware detectados a finales de octubre se dirigían a otra falla, más antigua.
Fuentes
- Synology-SA-26:19 DSM — Synology, 2026-11-10
- Synology Patches 27 DSM Flaws, Including CVSS 9.8 SQL Injection — Daily Security Review, 2026-11-11
- Synology exhorte les utilisateurs à mettre à jour DSM à la suite d'attaques par ransomware visant des versions obsolètes de DSM — Synology, 2026-10-29
- Synology-SA-26:18 DSM — Synology, 2026-11-10
- Synology-SA-26:14 PHP2Shell — Synology, 2026-10-22
- CERTFR-2026-ALE-014 — Multiples vulnérabilités dans PHP — CERT-FR, 2026-10-21