Una explicación de una inyección SQL sin autenticación en la API Auth de Synology DSM. Cubre qué ocurre, quién está afectado y cómo responder, desde el punto de vista del defensor y sin pasos de ataque.
- CVE
- CVE-2026-76954 (inyección SQL en la API Auth de Synology DSM). Aviso Synology-SA-26:19
- Gravedad
- CVSS v3.1 9.8 (Critical; vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H; asignado por Synology)
- Tipo
- Neutralización incorrecta de elementos especiales en un comando SQL (CWE-89). No se requiere autenticación
- Impacto
- Atacantes remotos podrían leer o escribir archivos arbitrarios y realizar una denegación de servicio (descripción de Synology)
- Afectado
- DSM 7.4 (anterior a 7.4.1-90080-1), 7.3 (anterior a 7.3.2-86009-5), 7.2.2 (anterior a 7.2.2-72806-10), 7.2.1 (anterior a 7.2.1-69057-13)
- Corrección
- 7.4.1-90080-1 / 7.3.2-86009-5 / 7.2.2-72806-10 / 7.2.1-69057-13 (o superior)
- Publicado
- Aviso el 10 de noviembre de 2026; registro de CVE.org el 12 de noviembre
- Medida alternativa
- Aviso de Synology: «None»
- Explotación
- No se informa de ninguna. No figura en la edición del 10 de noviembre de CISA KEV
Un NAS es a la vez donde viven los datos y un objetivo
Un NAS reúne archivos compartidos y copias de seguridad. Un fallo que permite leer y escribir archivos sin autenticación puede llevar a filtraciones, alteración o cifrado de datos. Para el ransomware dirigido a dispositivos Synology, véanse los ataques de ransomware contra Synology DSM.
Qué tipo de vulnerabilidad es
El aviso de Synology dice que la API Auth de DSM tiene una neutralización incorrecta de elementos especiales usados en un comando SQL (CWE-89), y que atacantes remotos podrían leer o escribir archivos arbitrarios y causar una denegación de servicio. Como muestra el vector CVSS, no hacen falta ni autenticación (PR:N) ni interacción del usuario (UI:N). Para el contexto, véase qué es la inyección SQL.
- Supone que el dispositivo es accesible por la red (AV:N). El riesgo aumenta cuando se puede llegar a la interfaz de administración desde internet o desde una red no confiable.
- El aviso no describe cómo explotarla ni qué solicitudes son peligrosas, y este sitio tampoco.
- Fue encontrada por el informe de un investigador externo.
Alcance afectado
| Elemento | Detalle |
|---|---|
| Producto | Synology DiskStation Manager (DSM) |
| DSM 7.4 | Actualice a la 7.4.1-90080-1 o superior |
| DSM 7.3 | Actualice a la 7.3.2-86009-5 o superior |
| DSM 7.2.2 | Actualice a la 7.2.2-72806-10 o superior |
| DSM 7.2.1 | Actualice a la 7.2.1-69057-13 o superior |
| Medidas alternativas / mitigaciones | Ninguna (aviso de Synology) |
- El aviso enumera solo estas cuatro líneas. No dice nada de las líneas anteriores a DSM 7.2.1 (7.1, 6.x, etc.), y el registro de CVE.org las marca como «unknown». Si usa un DSM antiguo, pregunte a Synology, compruebe su estado de soporte y considere actualizar o sustituir el dispositivo.
- El aviso no enumera otros productos que no sean DSM (SRM, por ejemplo).
El otro problema del mismo aviso: CVE-2026-85101
| Elemento | Detalle |
|---|---|
| Qué es | Omisión de autenticación mediante una ruta o canal alternativo en rsync de DSM (CWE-288) |
| Gravedad | CVSS v3.1 8.6 (High). No se requiere autenticación |
| Impacto | Leer archivos concretos, escribir archivos arbitrarios, denegación de servicio limitada (descripción de Synology) |
| Afectado / corregido | Las mismas versiones y versiones corregidas que CVE-2026-76954 |
Una actualización corrige ambos. Si hace copias de seguridad al NAS mediante rsync, compruebe que la conexión sigue funcionando tras actualizar.
Cómo comprobar si le afecta
Compruebe la versión de DSM
Inicie sesión en DSM y abra Panel de control, luego Centro de información, luego General para ver la versión de DSM. Están afectadas DSM 7.4 anterior a 7.4.1-90080-1, 7.3 anterior a 7.3.2-86009-5, 7.2.2 anterior a 7.2.2-72806-10 o 7.2.1 anterior a 7.2.1-69057-13.
Compruebe si el NAS es accesible desde el exterior
Revise el reenvío de puertos de su router y las funciones de acceso remoto que use. Si la página de inicio de sesión de DSM se abre desde fuera, es superficie de ataque. Si el NAS solo es accesible desde la red interna, el riesgo es menor en consecuencia.
Cuente sus dispositivos NAS
Compruebe si algún departamento o sede tiene un NAS que los administradores desconocen. Para saber cómo mantener una lista, véase la lista de comprobación del inventario de activos.
Qué hacer hoy
Compruebe las copias de seguridad y luego actualice DSM (máxima prioridad)
Antes de actualizar, confirme que existen copias de seguridad de los datos importantes y que pueden restaurarse (fundamentos de las copias de seguridad). Después vaya a Panel de control, luego Actualizar y restaurar, y actualice a la versión corregida de su línea o posterior. La actualización puede reiniciar el dispositivo, así que avise a los usuarios y elija un momento.
No exponga la interfaz de administración directamente a internet
El aviso de Synology no tiene medida alternativa, así que esta es una defensa general añadida por este sitio. Si la interfaz de administración de DSM está publicada mediante reenvío de puertos del router, deténgalo, y si necesita acceso desde fuera, hágalo a través de una VPN. Para un NAS que no pueda actualizar, asegúrese sobre todo de que sea inaccesible desde el exterior.
Restrinja las direcciones de origen
Use el cortafuegos del NAS para limitar quién puede conectarse a la interfaz de administración a la red interna o a los dispositivos que lo necesiten.
Busque cualquier cosa inusual tras actualizar
No se informa de explotación, pero compruebe que no ocurrió nada raro antes de la actualización. Busque cuentas o carpetas compartidas que no reconozca, cambios de configuración y el historial de inicios de sesión. Si algo parece incorrecto, considere cambiar las contraseñas y restaurar desde una copia de seguridad.
Planifique los dispositivos sin soporte
Para un NAS con un DSM antiguo que no recibirá corrección, hágalo inaccesible desde el exterior y planifique su sustitución.
Estado de la explotación
- El aviso de Synology no menciona explotación.
- No figura en la edición del 10 de noviembre del catálogo KEV de CISA.
- El estado del aviso es «Resolved», y la única revisión es la publicación inicial (10 de noviembre de 2026).
- No se pudo confirmar información pública sobre la escala, las técnicas ni los actores de ningún ataque.
- Que no se informe de explotación no significa que no exista. Con una calificación alta y sin autenticación (9.8), dé prioridad a la actualización.
Fuentes
- Synology — Synology-SA-26:19 DSM (publicado el 10 de noviembre de 2026; dos CVE, versiones afectadas y corregidas, sin mitigación)
- CVE.org — CVE-2026-76954 (registrado el 12 de noviembre de 2026; CWE-89, CVSS 9.8)
- CVE.org — CVE-2026-85101 (omisión de autenticación de rsync; CWE-288, CVSS 8.6)
- CISA KEV — Known Exploited Vulnerabilities Catalog (no figura en la edición del 10 de noviembre del catálogo)
Mantener la interfaz de administración fuera de internet y dar el acceso a través de una VPN se enumeran aquí por este sitio como defensas generales; no son medidas alternativas indicadas en el aviso de Synology. Última verificación: 13 de noviembre de 2026.