Ce qu’il faut retenir
Le 10 novembre 2026, Synology a publié un avis de gravité critique pour DSM. Deux failles sont corrigées, toutes deux exploitables à distance sans authentification. La plus grave (CVE-2026-76954, CVSS 9.8) est une injection SQL dans l’API d’authentification : elle permet de lire ou d’écrire des fichiers arbitraires et de faire tomber le NAS. Aucun contournement n’existe : seule la mise à jour de DSM protège.
Qui est concerné ?
| Produit | DSM (système des NAS Synology), toutes branches 7.4, 7.3, 7.2.2 et 7.2.1 |
| Versions corrigées | DSM 7.4.1-90080-1, 7.3.2-86009-5, 7.2.2-72806-10 ou 7.2.1-69057-13, ou supérieur selon la branche installée |
| Exposition | Failles exploitables à distance, sans compte ni mot de passe |
| Source | Avis officiel Synology |
Quel est le risque concret ?
Un attaquant qui peut joindre le NAS sur le réseau, y compris depuis Internet si le boîtier est exposé, peut sans identifiant lire ou écrire des fichiers sur le NAS ou provoquer son arrêt. Pour une entreprise, cela signifie un risque de fuite de données, de modification ou de destruction de fichiers, y compris de sauvegardes stockées sur le NAS. Le risque est le plus élevé pour les NAS accessibles depuis Internet. La seconde faille concerne le service de synchronisation rsync : elle permet de contourner l’authentification pour écrire des fichiers arbitraires et lire certains fichiers. L’avis de Synology ne mentionne pas d’exploitation active à ce jour.
Priorité de traitement
Justification : faille critique exploitable à distance sans authentification, sans contournement officiel ; un correctif est disponible, il faut l’appliquer sans attendre.
Que faut-il faire ?
- Vérifier la version de DSM de chaque NAS (Panneau de configuration, Mise à jour et restauration).
- Installer au minimum la version corrigée de votre branche : 7.4.1-90080-1, 7.3.2-86009-5, 7.2.2-72806-10 ou 7.2.1-69057-13.
- Si la mise à jour ne peut pas être faite tout de suite, réduire l’exposition du NAS en attendant : retirer l’accès direct depuis Internet (redirections de ports, accès distant), et limiter l’accès au réseau interne. Ce n’est pas un contournement officiel, seule la mise à jour corrige les failles.
- Vérifier que les sauvegardes du NAS sont récentes et conservées hors du NAS avant d’intervenir.
- Aucun contournement officiel n’existe pour cet avis.
Recommandation Chrysalead
Nous recommandons de mettre à jour tous les NAS Synology dès maintenant, en commençant par ceux accessibles depuis Internet, après vérification d’une sauvegarde récente. Cet avis fait suite à l’avis critique Synology-SA-26:13 de septembre et à l’avis Synology-SA-26:06 : profitez de l’intervention pour vérifier que les correctifs précédents sont bien installés.
Détails techniques : les 2 vulnérabilités
| CVE | CVSS | Gravité (Synology) | Composant | Impact |
|---|---|---|---|---|
| CVE-2026-76954 | 9.8 | Critique | API d’authentification (Auth API) | Injection SQL (CWE-89), sans authentification : lecture ou écriture arbitraire de fichiers, déni de service |
| CVE-2026-85101 | 8.6 | Importante | rsync | Contournement d’authentification par un chemin alternatif (CWE-288) : lecture de fichiers spécifiques, écriture arbitraire, déni de service limité |
Vecteurs CVSS 3.1 : CVE-2026-76954 : AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. CVE-2026-85101 : AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:L.
Sources
Articles et services associés
- DSM (DiskStation Manager)
- Le système d’exploitation des NAS Synology, qui gère les fichiers, les utilisateurs et les services du boîtier.
- CVE
- Identifiant public attribué à une vulnérabilité connue.
- CVSS
- Score de 0 à 10 qui évalue la gravité technique d’une vulnérabilité. Il ne mesure pas à lui seul l’impact sur l’activité d’une entreprise.
- Sans authentification
- L’attaquant n’a besoin ni de compte ni de mot de passe pour tenter d’exploiter la faille.
- Injection SQL
- Technique qui consiste à glisser des commandes dans un champ de saisie pour que la base de données les exécute.
- rsync
- Service de synchronisation et de sauvegarde de fichiers entre deux machines.
- Déni de service
- Le service ou le boîtier devient indisponible.
Cette alerte est une synthèse éditoriale rédigée par Chrysalead IT Services à partir de l’avis officiel Synology (consulté le 11/11/2026). Les informations peuvent évoluer : vérifiez toujours l’avis officiel de l’éditeur avant toute intervention sur vos équipements.