Synology、DSMの脆弱性27件を修正 深刻度9.8の重大欠陥も
Synologyは11月10日、NAS向けOS「DSM」の脆弱性27件を修正した。うち2件はパスワードなしで遠隔からファイルを書き込める欠陥で、最大の深刻度は9.8。
Synologyは11月10日(現地時間・火曜日)、NAS向けOS「DSM」の脆弱性27件を修正した。このうち2件は、認証なしで遠隔からファイルを書き込めるもので、最も深刻なものはCVSS(10点満点)で9.8と評価されている。セキュリティ勧告の番号はSynology-SA-26:19。
深刻度9.8はSQLインジェクション
最も深刻なCVE-2026-76954は、ユーザーのログインを処理するAuth APIに存在するSQLインジェクションだ。入力欄に命令を紛れ込ませ、データベースに実行させる手法である。ユーザー名も被害者の操作も不要で、任意のファイルの読み書きやNASのクラッシュを引き起こせる。Synologyは最高位の「重大(クリティカル)」に分類した。
もう1件のCVE-2026-85101は、ファイルの同期やバックアップを担うrsyncの欠陥。迂回経路で認証を回避し、任意のファイルを書き込めるが、読み取れるのは一部のファイルに限られる。このため1段階下の「重要」で、スコアは8.6となっている。
対象バージョンと対処
勧告は機種名ではなくDSMのバージョンを対象としており、7.4、7.3、7.2.2、7.2.1が該当する。これらの版を修正なしで使っているNASは、機種を問わず危険にさらされる。回避策はなく、更新だけが対策になる。Synologyは、現時点でこれらの欠陥を悪用した攻撃は確認していないとしている。
修正版は次のとおり。
- DSM 7.4:7.4.1-90080-1以降
- DSM 7.3:7.3.2-86009-5以降
- DSM 7.2.2:7.2.2-72806-10以降
- DSM 7.2.1:7.2.1-69057-13以降
更新はDSMのコントロールパネルにある「更新と復元」から行う。すぐに更新できない場合は、NASへのインターネットからのアクセスを遮断しておくべきだ。
同社は9月18日にも、遠隔からファイルの読み書きができる9.8の欠陥2件を修正しており、同水準の警告は2か月で2度目となる。
注目のアプリ
SUMO：数字パズル正しいマスを選んで足し算、目標の数に。覚えるのは簡単、極めるのは難しい。無料、全年齢向け。
Dialo：話して学ぶ語学アプリAIの会話パートナーと話すだけ。一文ごとに添削され、あなたの言語で解説が返ってきます。9言語、A1からC2まで。
ediviewer：EDIファイルを文書のように読むEDIFACTやX12メッセージを開き、各セグメントの意味を表示。JSON/XML変換、PDF・Excel出力。ローカルで動作、アップロード不要。
giftdetect：数分でぴったりの贈り物相手、シーン、性格を選ぶだけ。検索エンジンが地元ショップの商品説明を読み、合うものを並べます。無料、登録不要。
同じ日のニュース
すべて見る →
関連カテゴリ: セキュリティ
すべて見る →
Ray-Ban Metaを研究者がハッキング、修正も1バイトで回避
KISA、IPカメラ10製品を点検 3製品でユーザー認証に不備
総務省、ブロッキング検討の作業部会を新設 二次被害抑止へ
