Bezpieczeństwo11 lis 2026, 18:48 UTC·1 min czytania

Synology łata 27 luk w DSM, w tym krytyczny błąd 9,8 na 10

Synology naprawiło 10 listopada 27 luk w DSM. Dwie pozwalają zdalnie zapisywać pliki bez hasła, a najgroźniejsza dostała 9,8 pkt na 10.

A Synology NAS device on a desk with a security warning symbol on a connected screen. — Zdjęcie: Frandroid

Synology opublikowało we wtorek 10 listopada biuletyn bezpieczeństwa Synology-SA-26:19 z poprawkami dla DSM, systemu działającego w jego serwerach NAS. Firma naprawiła łącznie 27 luk, z czego dwie umożliwiają zdalny zapis plików bez podawania hasła. Najpoważniejsza z nich otrzymała w skali CVSS 9,8 na 10.

Dwie groźne luki

Luka CVE-2026-76954 dotyczy Auth API, czyli modułu DSM odpowiedzialnego za logowanie użytkowników. To wstrzyknięcie SQL: do pola formularza trafiają polecenia, które następnie wykonuje baza danych systemu. Atak nie wymaga ani danych logowania, ani działania ze strony ofiary. Pozwala odczytać lub zapisać dowolny plik, a nawet doprowadzić do awarii urządzenia. Synology określa ją jako krytyczną.

Druga luka, CVE-2026-85101, występuje w rsync, usłudze synchronizacji i kopii zapasowych między dwiema maszynami. Omija uwierzytelnianie okrężną drogą i pozwala zapisać dowolny plik, ale odczytać tylko niektóre. Dostała 8,6 na 10 i ocenę „ważna”.

Których wersji dotyczy problem

Komunikat odnosi się do wersji DSM, nie do konkretnych modeli: 7.4, 7.3, 7.2.2 i 7.2.1. Ponieważ system trafia do całej oferty, zagrożony jest każdy NAS Synology z jedną z tych wersji bez najnowszej poprawki. Firma podkreśla, że nie ma obejścia, więc chroni wyłącznie aktualizacja. Na razie nie zgłosiła ataków wykorzystujących te luki.

To drugi alert tej rangi w dwa miesiące. 18 września Synology naprawiło już dwie luki w DSM ocenione na 9,8, również pozwalające zdalnie czytać lub zapisywać pliki.

Jak zaktualizować

W DSM otwórz Panel sterowania, a następnie sekcję „Aktualizacja i przywracanie”. Zobaczysz tam zainstalowaną wersję i możesz uruchomić aktualizację. Minimalne wersje z poprawką to:

DSM 7.4: 7.4.1-90080-1 lub nowsza
DSM 7.3: 7.3.2-86009-5 lub nowsza
DSM 7.2.2: 7.2.2-72806-10 lub nowsza
DSM 7.2.1: 7.2.1-69057-13 lub nowsza

Jeśli nie możesz zaktualizować od razu, na ten czas odetnij dostęp do NAS-a z internetu.