보안2026. 11. 11. 오후 6:48 UTC·2 분 소요

Synology, DSM 취약점 27건 패치…위험도 9.8 치명적 결함 포함

Synology가 11월 10일 DSM 취약점 27건을 수정했습니다. 이 중 2건은 비밀번호 없이 원격으로 파일을 쓸 수 있으며, 최고 점수는 10점 만점에 9.8점입니다.

A Synology NAS device on a desk with a security warning symbol on a connected screen. — 이미지: Frandroid

Synology가 10일(현지 시간 화요일) NAS 운영체제 DSM의 보안 취약점 27건을 수정했습니다. 이 가운데 2건은 비밀번호 없이 원격에서 파일을 쓸 수 있는 결함이며, 가장 심각한 것은 CVSS 10점 만점에 9.8점으로 평가됐습니다. 보안 권고문 번호는 Synology-SA-26:19입니다.

위험도 9.8의 SQL 인젝션

가장 심각한 CVE-2026-76954는 사용자 로그인을 처리하는 Auth API의 SQL 인젝션입니다. 입력란에 명령어를 끼워 넣어 데이터베이스가 실행하게 만드는 수법입니다. 계정 정보도, 피해자의 조작도 필요 없으며 임의 파일을 읽거나 쓰고 NAS를 다운시킬 수도 있습니다. Synology는 최고 등급인 '치명적'으로 분류했습니다.

CVE-2026-85101은 파일 동기화와 백업을 맡는 rsync 서비스의 결함입니다. 우회 경로로 인증을 건너뛰고 임의 파일을 쓸 수 있지만, 읽기는 일부 파일로 제한됩니다. 그래서 한 단계 낮은 '중요' 등급, 8.6점입니다.

영향 버전과 조치

권고문은 모델이 아닌 DSM 버전을 대상으로 하며 7.4, 7.3, 7.2.2, 7.2.1이 해당합니다. 패치 없이 이 버전을 쓰는 NAS는 모델과 관계없이 위험합니다. 우회책은 없고 업데이트만이 해법입니다. Synology는 현재까지 이 결함을 악용한 공격은 확인되지 않았다고 밝혔습니다.

수정 버전은 다음과 같습니다.