Synology выпустила обновления, которые закрывают уязвимости Plex2Shell и Node2Shell в своих продуктах. Plex2Shell затрагивает пакет Plex Media Server для DSM: он позволяет записать файл, который сервер выполнит при загрузке, подменить адрес запроса и вызвать функции чужих плагинов. Node2Shell связан с библиотекой сжатия Brotli, и в линейке Synology под него попал клиент Chat. Обходных мер защиты в обоих случаях нет. Остается установка исправленных сборок.
Что меняется после обновления
Plex: запись файлов и подмена запросов
Plex Media Server работает на NAS и раздает медиатеку другим устройствам. Для DSM 7.2.1 и 7.2.2 Synology называет исправленной сборку 1.43.5.11079-700011079, для DSM 7.3 и 7.4 - 1.43.5.11079-720011079. Обновлять пакет нужно целиком: отдельного исправления под каждую уязвимость вендор не выпускал.
Тяжелее всего по последствиям выглядит CVE-2026-96656. Пользователь с правами администратора Plex может записать произвольный файл, и сервер исполнит его при загрузке. Механизм такой: настройка параметров транскодирования дословно дописывается к строке опций кодировщика x264 при каждом транскодировании. При старте сервер запускает разделяемые библиотеки, не проверяя ни подпись, ни право на исполнение, ни символы. Оценка CVSS 3.1 - 7.2, атака идет по сети, но требует высоких привилегий. В записи CVE исправлением названа версия 1.43.3.10861; она ниже той, что предлагает Synology, поэтому ориентироваться стоит на сборку из бюллетеня.
Вторая уязвимость, CVE-2026-96654, не требует учетных данных. Сервер не обезвреживает значения URL в запросе поиска, из-за чего злоумышленник вызывает функции других плагинов и передает им свои параметры. Оценка CVSS 3.1 - 6.5. CISA отмечает, что такую атаку можно автоматизировать.
Отдельно Synology закрывает подделку запросов на стороне сервера. В CVE-2026-96652 подойдет любое значение токена X-Plex-Token: в параметре протокола можно передать полный адрес, и сервер отправит запрос туда, куда укажет злоумышленник. В CVE-2026-96655 уже прошедший проверку пользователь запрашивает произвольные внутренние и внешние адреса. Обе оценки по CVSS 3.1 - 4.3.
Node2Shell: переполнение буфера в декодере Brotli
Brotli сжимает данные в браузерах, приложениях и сетевых библиотеках. Уязвимость CVE-2026-111497 - переполнение буфера в декодере версий с 1.0.3 по 1.2.0. Специально собранный сжатый поток портит соседнюю память состояния декодера. Дальше возможны раскрытие содержимого памяти, отказ в обслуживании и, при удачном раскладе, выполнение кода. Атака идет по сети, привилегии и участие пользователя не нужны.
Исправленные версии - 1.0.10, 1.1.1 и 1.2.1. Запись CVE оценивает уязвимость в 9.2 по CVSS 4.0; раздел деталей в бюллетене Synology приводит 9.8 по CVSS 3.1. Авторами записи указаны Khai Tran и Sylvie Mayer из OpenAI Codex Security.
В продуктах Synology затронут только один компонент. Компания перечислила в бюллетене набор пакетов DSM и утилит, но уязвимым признала Synology Chat Client, исправление - 1.2.5-0240. Остальные продукты в таблице помечены как не затронутые. Уровень опасности самого бюллетеня - Moderate. Статус исправления для клиента Chat обновили 9 ноября, во второй ревизии документа.
Эксплуатация и порядок действий
CISA внесла записи по Plex в каталог KEV 20 октября 2026 года. Brotli-уязвимость тоже числится в KEV. В разделе ADP у всех записей стоит активная эксплуатация, то есть речь идет не о теории. Бюллетени Synology при этом вышли позже: Synology_SA_26_17 - 8 ноября, Synology_SA_26_15 - 9 ноября.
Для администратора это значит вот что. Если Plex Media Server стоит на NAS и открыт наружу, обновлять его нужно в первую очередь: запись файла с последующим исполнением и подделка запросов опираются на сетевой доступ. Клиент Chat обновляют на рабочих местах, а сервер Chat Server в списке затронутых не значится. После установки сборок отдельных действий не требуется: обе уязвимости закрываются версиями из таблиц, других мер Synology не предлагает.
Ссылки
- https://www.synology.com/en-global/security/advisory/Synology_SA_26_15
- https://www.synology.com/en-global/security/advisory/Synology_SA_26_17
