Synology выпустила обновление безопасности для DSM - DiskStation Manager, операционной системы сетевых хранилищ компании. Обновление закрывает сразу несколько уязвимостей. Они позволяют читать и записывать произвольные файлы, обходить вход в систему, подделывать запросы от имени сервера и вызывать отказ в обслуживании. Под угрозу попадают организации, которые держат файлы и резервные копии на NAS Synology с необновлённой системой.
Что исправляет обновление DSM
Synology выпустила два уведомления о безопасности - Synology_SA_26_18 и Synology_SA_26_19, оба датированы 10 ноября 2026 года. Первое помечено уровнем Important, второе - Critical. Обходных мер компания не предложила. Поэтому единственный способ закрыть уязвимости - установить исправление.
Уязвимость с оценкой 9,8 и обход в rsync
Самую высокую оценку получила CVE-2026-76954 - 9,8 из 10 по CVSS. Ошибка находится в Auth API, то есть в программном интерфейсе входа в систему. Причина - SQL-инъекция: данные от пользователя попадают в запрос к базе без должной очистки. Учётные данные не нужны, участие пользователя тоже. Атакующий работает по сети и получает чтение и запись произвольных файлов вместе с отказом в обслуживании.
В том же бюллетене записана CVE-2026-85101 с оценкой 8,6. Это обход аутентификации через альтернативный путь в rsync - службе синхронизации файлов. Здесь можно прочитать отдельные файлы, записать произвольные и ненадолго остановить службу.
Проверки прав в API
Три уязвимости с оценкой 8,8 обходят проверку прав. CVE-2026-13672 - обход авторизации через ключ, которым управляет сам пользователь, в SSOAuth, компоненте единого входа. CVE-2026-74857 - пропущенный шаг при аутентификации в Auth API. CVE-2026-18792 - выход за пределы разрешённого каталога в Sharing API. В каждом случае хватает учётной записи обычного пользователя, чтобы читать и записывать произвольные файлы и устраивать отказ в обслуживании.
Обход есть и в проверке второго фактора. CVE-2026-18596 с оценкой 8,1 позволяет войти в обход одноразовых паролей, OTP, через альтернативный канал. Действующие учётные данные пользователя при этом нужны, а второй фактор ничего не решает. Ещё одна ошибка того же уровня, CVE-2026-81584, живёт в User API: SQL-инъекция срабатывает, если под контролем атакующего находится скомпрометированный сервер LDAP или Active Directory.
CVE-2026-19048 (8,1) в обработчике эскизов thumb позволяет записать произвольные файлы через символическую ссылку. CVE-2026-75785 (7,2) - внедрение команд операционной системы в VPN API, но только с правами администратора. CVE-2026-18633 (7,5) в nfsd, службе сетевых файловых систем, останавливает её неинициализированным указателем - достаточно сетевого доступа.
Что ещё закрыли
В WebDAV API не хватало аутентификации для критичной функции (CVE-2026-15198, 6,5). Удалённый атакующий читает отдельные файлы и ненадолго выводит службу из строя. Похожие последствия у CVE-2026-16550 (6,5) в Media Parser, где путь к файлу задаёт внешний источник.
Межсайтовый скриптинг нашёлся в проигрывателе Audio Player, в DSMNotify и в Notification API - три случая с оценкой 5,4. Данные попадают на страницу без очистки. CVE-2026-19833 (5,4) - пропущенная проверка прав в ACL API.
В Support Form не проверяется сертификат (CVE-2026-15201, 5,9). Атакующий в позиции посредника между NAS и сервером поддержки читает произвольные файлы и записывает отдельные во время отправки формы. Ошибка в Security Advisor (CVE-2026-124993, 5,3) даёт чтение отдельных файлов без входа в систему, а в synoscgi (CVE-2026-85098, 5,3) вызывает короткий отказ в обслуживании.
Нижнюю часть списка занимают ошибки с оценкой 4,3. Среди них SSRF в Credential API (CVE-2026-77738): сервер сам обращается по заданному адресу. Остальные - пропущенные проверки прав и подмена пути в отдельных компонентах.
Исправления вышли для ветвей 7.4, 7.3, 7.2.2 и 7.2.1. Ветке 7.4 нужна сборка 7.4.1-90080-1 или новее, ветке 7.3 - 7.3.2-86009-5 или новее. Для 7.2.2 актуальна 7.2.2-72806-10, для 7.2.1 - 7.2.1-69057-13. Младшие сборки в этих ветвях остаются незакрытыми.
Сведений об эксплуатации в реальных атаках Synology не приводит. Уязвимости нашли исследователи из Viettel Cyber Security Research Lab и DEVCORE Research Team, а также независимые специалисты - компания перечисляет их поимённо. После обновления администратору полезно посмотреть, какие службы NAS доступны из интернета: VPN, WebDAV, rsync и SNMP часто включают без явной необходимости. Именно они и дали ошибки в этом выпуске.
Ссылки
- https://www.synology.com/en-global/security/advisory/Synology_SA_26_18
- https://www.synology.com/en-global/security/advisory/Synology_SA_26_19
