Synology a publié des mises à jour de sécurité pour corriger deux vulnérabilités critiques affectant DiskStation Manager (DSM). La plus grave est la CVE-2026-76954, qui permet à un attaquant distant non authentifié d’exploiter une faille d’injection SQL dans l’API d’authentification. Cette vulnérabilité peut conduire à la lecture ou à l’écriture de fichiers arbitraires ainsi qu’à des attaques par déni de service.
L’avis mentionne également une seconde faille, CVE-2026-85101, touchant le service rsync, permettant à un attaquant distant de contourner certaines protections d’authentification et d’accéder à des fichiers ou de modifier des données.
Selon Synology :
- la sévérité de la CVE-2026-76954 est critique (CVSS 9.8/10);
- toutes les branches DSM actuellement supportées sont concernées jusqu’à l’installation des correctifs;
- aucune mesure de contournement (mitigation) n’est disponible;
- la seule recommandation est d’appliquer les mises à jour DSM correspondantes dès que possible.
D’un point de vue pratique, cette vulnérabilité est particulièrement préoccupante car elle est :
- exploitable à distance ;
- exploitable sans authentification ;
- exploitable sans interaction de l’utilisateur.
Les branches concernées avant mise à jour :
- DSM 7.4 avant 7.4.1-90080-1
- DSM 7.3 avant 7.3.2-86009-5
- DSM 7.2.2 avant 7.2.2-72806-10
- DSM 7.2.1 avant 7.2.1-69057-13
Correctif
Synology indique qu’il faut mettre à jour vers au moins :
- DSM 7.4.1-90080-1
- DSM 7.3.2-86009-5
- DSM 7.2.2-72806-10
- DSM 7.2.1-69057-13
Aucune mesure de mitigation temporaire n’est mentionnée dans l’avis officiel.
