Ce qu’il faut retenir
Synology a publié en avril 2026 un avis de gravité importante pour DSM, dont le détail des onze vulnérabilités a été divulgué le 21/09/2026. La plus grave (CVSS 8.0) permet à un utilisateur authentifié de lire ou d’écrire des fichiers arbitraires. Les autres sont modérées ou faibles, certaines exploitables sans authentification pour obtenir des informations ou écrire des fichiers de façon limitée. Un correctif existe et aucun contournement n’est proposé.
Qui est concerné ?
| Produit | DSM (système des NAS Synology) |
| Versions corrigées | DSM 7.3.2-86009-2 ou supérieur, 7.2.2-72806-7 ou supérieur, 7.2.1-69057-10 ou supérieur |
| Exposition | Majorité de failles exploitables avec un compte utilisateur ; quelques-unes sans authentification |
| Source | Avis officiel Synology |
Quel est le risque concret ?
La faille la plus grave peut permettre à un utilisateur disposant d’un compte de lire ou d’écrire des fichiers qui ne lui sont pas destinés. Un attaquant sans compte pourrait obtenir des informations non sensibles ou écrire quelques fichiers de façon limitée. Le risque est donc surtout celui d’un compte compromis ou d’un utilisateur malveillant sur le réseau.
Priorité de traitement
Justification : un correctif est disponible et la plupart des failles exigent un compte, ce qui limite le risque immédiat, mais une mise à jour planifiée rapidement reste adaptée.
Que faut-il faire ?
- Vérifier la version de DSM de chaque NAS.
- Installer la version corrigée de votre branche. Si vous appliquez aussi la mise à jour de l’avis Synology-SA-26:13 (versions plus récentes), vérifiez sur les avis officiels que les deux sont couverts.
- Limiter les comptes utilisateurs aux personnes qui en ont besoin et utiliser des mots de passe forts.
- Aucun contournement officiel n’existe pour cet avis.
Recommandation Chrysalead
Nous recommandons de traiter cet avis en même temps que l’avis critique Synology-SA-26:13, lors d’une seule intervention de mise à jour de DSM, après sauvegarde.
Détails techniques : les 11 vulnérabilités
| CVE | CVSS | Gravité (Synology) | Composant | Impact |
|---|---|---|---|---|
| CVE-2026-40530 | 8.0 | Important | API Utilisateur | Lecture/écriture arbitraire de fichiers par un utilisateur authentifié ; déni de service après redémarrage |
| CVE-2026-40539 | 7.1 | Important | API Email | Un attaquant en position d’homme du milieu peut lire/écrire des fichiers arbitraires ; déni de service |
| CVE-2026-4036 | 6.5 | Modéré | API de partage | Un utilisateur authentifié obtient des fichiers de partage arbitraires |
| CVE-2026-40531 | 4.3 | Modéré | Opérations sur fichiers | Déni de service limité (authentifié) |
| CVE-2026-40532 | 6.5 | Modéré | Chemin du fond d’écran | Accès à des informations sensibles (authentifié) |
| CVE-2026-40533 | 5.3 | Modéré | API Bureau | Informations non sensibles (sans authentification) |
| CVE-2026-40534 | 5.4 | Modéré | API Vidéo | Lecture/écriture limitée de fichiers au lancement du lecteur (authentifié) |
| CVE-2026-40535 | 6.5 | Modéré | API Bureau | Écriture limitée de fichiers ; déni de service limité (sans authentification) |
| CVE-2026-40536 | 4.3 | Modéré | API Audio | Informations non sensibles (authentifié) |
| CVE-2026-40537 | 4.3 | Modéré | API PersonMail | Informations non sensibles (authentifié) |
| CVE-2026-40538 | 3.7 | Faible | Blocage automatique | Lecture limitée de fichiers par force brute (sans authentification) |
Articles et services associés
- DSM (DiskStation Manager)
- Le système d’exploitation des NAS Synology, qui gère les fichiers, les utilisateurs et les services du boîtier.
- CVE
- Identifiant public attribué à une vulnérabilité connue.
- CVSS
- Score de 0 à 10 qui évalue la gravité technique d’une vulnérabilité. Il ne mesure pas à lui seul l’impact sur l’activité d’une entreprise.
- Sans authentification
- L’attaquant n’a besoin ni de compte ni de mot de passe pour tenter d’exploiter la faille.
- Déni de service
- Le service ou le boîtier devient indisponible.
Cette alerte est une synthèse éditoriale rédigée par Chrysalead IT Services à partir de l’avis officiel Synology (consulté le 13/10/2026). Les informations peuvent évoluer : vérifiez toujours l’avis officiel de l’éditeur avant toute intervention sur vos équipements.