Компания Synology выпустила масштабное обновление безопасности для своей операционной системы DiskStation Manager (DSM). В ходе планового аудита и исследований независимых специалистов в прошивке популярных NAS-накопителей было обнаружено сразу четырнадцать уязвимостей. Часть из них получила статус "важный", и все они требуют немедленного внимания со стороны владельцев устройств.
Детали уязвимостей
Проблемы были зафиксированы в нескольких версиях DSM. Под угрозой оказались сборки 7.2.1 до версии 7.2.1-69057-10, 7.2.2 до версии 7.2.2-72806-7 и 7.3.2 до версии 7.3.2-86009-2. Производитель уже выпустил патчи для всех перечисленных веток, поэтому ключевая рекомендация для системных администраторов - как можно скорее выполнить обновление.
Главная особенность этой серии уязвимостей - их разнообразие. Злоумышленник с доступом к сети мог не только перегрузить систему и сделать её недоступной, но и получить доступ к конфиденциальным файлам. Самый высокий балл получила уязвимость CVE-2026-40530 - 8.0 по шкале CVSS (единая система оценки угроз). Она относится к классу CWE-93 и связана с некорректной обработкой управляющих последовательностей CRLF. Простыми словами, эта брешь могла позволить вторжению в логику работы приложения и последующей подмене данных.
Практически все уязвимости используют разные векторы атаки. Например, проблемы CVE-2026-40533 и CVE-2026-40535 были особенно опасны тем, что для их эксплуатации не требовалась предварительная авторизация. В частности, CVE-2026-40533, оценённая в 5.3 балла, позволяла удалённо считывать служебную информацию через некорректно защищённые запросы к базе. Ещё более широкие последствия имела CVE-2026-40535 с рейтингом 6.5 - она построена на так называемом "обходе каталогов" (Path Traversal). Используя такой недостаток, атакующий мог выйти за пределы разрешённой папки и получить доступ к системным файлам, включая те, что содержат пароли или ключи шифрования.
Разобраться в серьёзности ситуации помогает более детальный взгляд на обнаруженные недостатки. Особняком стоит CVE-2026-40539. Этот дефект получил 7.1 балла и попадает в категорию атак типа "человек посередине" (man-in-the-middle). Причина - плохая проверка цифровых сертификатов. На практике это означает, что злоумышленник, находясь в той же локальной сети, мог перехватывать трафик между NAS и пользователем. Подменив сертификат, он получал полный контроль над файлами: мог их читать, изменять и даже удалять. Автором этой уязвимости выступил исследователь Бен Р. из компании Interrupt Labs.
Ещё один тревожный класс проблем - SQL-инъекции, которые представлены уязвимостью CVE-2026-4036. С её помощью авторизованный пользователь мог внедрить вредоносный SQL-код в запросы к встроенной базе данных DSM. Такая атака чревата утечкой базы учётных записей или полной потерей контроля над устройством. В списке также есть проблема CVE-2026-40534 - это классическая XSS-брешь (межсайтовый скриптинг), позволяющая внедрить вредоносный скрипт на страницу панели управления.
Не обошлось и без SSRF-уязвимости (подделка запросов на стороне сервера) - CVE-2026-40537. Она давала возможность заставить сам сервер совершать запросы во внутреннюю сеть организации. Для корпоративных сетей это критично: NAS, атакованный таким образом, мог стать "прокладкой" для доступа к другим внутренним серверам, минуя файерволы.
Всего в отчёте упоминается четыре типа угроз, включая отказ в обслуживании (DoS-атаки) и обход политик безопасности. Специалисты отмечают, что некоторые уязвимости (например, CVE-2026-40538) имеют низкий приоритет, так как требуют сложных условий для эксплуатации. Однако присутствие в списке сразу нескольких брешей с высоким рейтингом говорит о системных ошибках в коде.
Список исследователей, обнаруживших эти проблемы, впечатляет. Среди них как независимые эксперты - например, Андреас Ротенбахер и Валлентин Варисс, так и целые команды из STEALIEN INC. и DEVCORE Research Team. Это доказывает, что Synology-устройства находятся под пристальным вниманием хакерского сообщества.
Что делать?
Ответ прост, но критичен. Всем владельцам Synology NAS необходимо немедленно зайти в интерфейс DSM и проверить наличие обновлений. Версии для DSM 7.2.1 - патч 69057-10, для 7.2.2 - 72806-7, а для 7.3.2 - 86009-2. Если ваша прошивка старше указанных цифр, вы находитесь в зоне риска.
Тем, кто управляет большим количеством устройств, стоит проверить, не осталось ли у кого-то из пользователей неотозванных прав на удалённый доступ. Некоторые уязвимости (например, связанные с обходом каталогов) требуют лишь небольшого объёма привилегий. Ограничение прав доступа по принципу "минимальной необходимости" может спасти данные даже в случае успешной атаки. Но главный рецепт по-прежнему один - не откладывать установку свежего патча от производителя.
Ссылки
- https://www.synology.com/en-global/security/advisory/Synology_SA_26_06
- https://www.synology.com/en-global/security/advisory/Synology_SA_26_07
