Ce qu’il faut retenir
Synology a publié le 18/09/2026 un avis classé critique pour DSM, le système des NAS. Huit vulnérabilités sont corrigées, dont deux de gravité critique (CVSS 9.8) exploitables à distance sans authentification, qui peuvent permettre la lecture et l’écriture de fichiers arbitraires ou un déni de service. Aucun contournement n’est proposé : la mise à jour de DSM est la seule solution indiquée. L’avis ne précise pas si ces failles sont déjà exploitées.
Qui est concerné ?
| Produit | DSM (système des NAS Synology) |
| Versions concernées | DSM antérieurs à 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 et 7.4-90075 |
| Versions corrigées | DSM 7.4-90075 ou supérieur, 7.3.2-86009-4 ou supérieur, 7.2.2-72806-9 ou supérieur, 7.2.1-69057-12 ou supérieur |
| Exposition | Failles exploitables par le réseau ; les deux plus graves sans authentification |
| Source | Avis officiel Synology |
Quel est le risque concret ?
Un attaquant qui peut joindre l’interface ou les services du NAS pourrait, sans compte, lire ou écrire des fichiers arbitraires sur le boîtier, ou le rendre indisponible. Un NAS contient souvent les données de l’entreprise : l’impact métier peut donc être important, surtout si le boîtier est accessible depuis Internet. Les autres failles (gravité importante à faible) demandent un compte utilisateur ou administrateur.
Priorité de traitement
Justification : deux failles critiques sans authentification, un correctif disponible et des boîtiers qui hébergent des données sensibles et sont parfois joignables depuis Internet.
Que faut-il faire ?
- Vérifier la version de DSM installée sur chaque NAS (Panneau de configuration, Mise à jour et restauration).
- Faire une sauvegarde des données avant la mise à jour.
- Installer la version corrigée correspondant à la branche DSM utilisée (voir ci-dessus).
- Vérifier si le NAS est accessible depuis Internet (QuickConnect, redirection de ports) et restreindre cet accès si ce n’est pas nécessaire.
- Aucun contournement officiel n’existe : ne pas retarder la mise à jour.
Recommandation Chrysalead
Pour une PME qui utilise un NAS Synology, nous recommandons d’identifier dès maintenant tous les boîtiers et leur version de DSM, puis d’appliquer la mise à jour en priorité sur ceux qui sont accessibles depuis Internet, après une sauvegarde.
Détails techniques : les 8 vulnérabilités
| CVE | CVSS | Gravité (Synology) | Composant | Impact |
|---|---|---|---|---|
| CVE-2026-13684 | 9.8 | Critique | SCGI | Lecture/écriture arbitraire de fichiers, déni de service (sans authentification) |
| CVE-2026-13639 | 9.8 | Critique | Logique de connexion | Lecture/écriture arbitraire de fichiers, déni de service (sans authentification) |
| CVE-2026-13673 | 8.8 | Important | API LDAP | Lecture/écriture arbitraire de fichiers, déni de service (authentifié) |
| CVE-2026-6205 | 8.1 | Important | API d’envoi de fichiers | Écriture arbitraire de fichiers, déni de service (authentifié) |
| CVE-2026-13635 | 5.3 | Modéré | API d’authentification | Divulgation d’informations non sensibles (sans authentification) |
| CVE-2026-13623 | 4.8 | Modéré | API de thème | Lecture/écriture limitée de fichiers (administrateur, interaction de l’utilisateur requise) |
| CVE-2026-13666 | 3.5 | Faible | API de partage | Écriture limitée de fichiers si la victime ouvre un lien de partage piégé (authentifié) |
| CVE-2026-13683 | 2.7 | Faible | API EventScheduler | Divulgation d’informations non sensibles (administrateur) |
Articles et services associés
- DSM (DiskStation Manager)
- Le système d’exploitation des NAS Synology, qui gère les fichiers, les utilisateurs et les services du boîtier.
- CVE
- Identifiant public attribué à une vulnérabilité connue.
- CVSS
- Score de 0 à 10 qui évalue la gravité technique d’une vulnérabilité. Il ne mesure pas à lui seul l’impact sur l’activité d’une entreprise.
- Sans authentification
- L’attaquant n’a besoin ni de compte ni de mot de passe pour tenter d’exploiter la faille.
- Déni de service
- Le service ou le boîtier devient indisponible.
Cette alerte est une synthèse éditoriale rédigée par Chrysalead IT Services à partir de l’avis officiel Synology (consulté le 13/10/2026). Les informations peuvent évoluer : vérifiez toujours l’avis officiel de l’éditeur avant toute intervention sur vos équipements.