事故・脆弱性11分で読める

CVE-2026-76954 — Synology DSMのAuth APIにSQLインジェクション（認証不要・CVSS 9.8、修正版は7.2.1-69057-13ほか）の解説と対応策

CVE-2026-76954は、Synology DSMのAuth APIにある認証不要のSQLインジェクション（CVSS 9.8）。7.4・7.3・7.2.2・7.2.1に修正版あり。回避策なし、悪用の記載なし。

本文を読む

重大CVSS9.8#CVE-2026-76954 #Synology #DSM #DiskStation Manager #NAS #SQLインジェクション #認証不要 #SA-26:19 #CVE-2026-85101

公開日: 2026-11-13
更新日: 2026-11-13
最終確認: 2026-11-13

Synology DSMのAuth APIにある、認証不要のSQLインジェクションの解説です。何が起きるのか・影響範囲・対応策を、攻撃の再現手順は伏せて防御目線でまとめます。

速報サマリー — ADVISORY

CVE: CVE-2026-76954（Synology DSM Auth APIのSQLインジェクション）。勧告 Synology-SA-26:19
重大度: CVSS v3.1 9.8（Critical。ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H。Synologyが付与）
種別: SQLコマンドの特殊文字の不適切な処理（CWE-89）。認証不要
影響: リモートの攻撃者が、任意のファイルの読み取り・書き込みと、サービス拒否を行える（Synologyの説明）
対象: DSM 7.4（7.4.1-90080-1未満）、7.3（7.3.2-86009-5未満）、7.2.2（7.2.2-72806-10未満）、7.2.1（7.2.1-69057-13未満）
修正: 7.4.1-90080-1 ／ 7.3.2-86009-5 ／ 7.2.2-72806-10 ／ 7.2.1-69057-13（いずれも以降）
公開日: 勧告は2026年11月10日。CVE.orgへの登録は11月12日
回避策: Synologyの勧告は「None」（なし）
悪用状況: 悪用の記載なし。CISA KEVの11月10日版カタログに未掲載

9.8

CVSS v3.1（Synology）

認証不要

ネットワークから到達できれば攻撃可能

なし

回避策（勧告）

4系統

修正版が出た DSM

結論

認証不要で回避策がない。DSMを修正版へ更新し、管理画面をインターネットに出さない

この脆弱性は、ログイン前の段階にあるAPIの不備で、Synologyは回避策を示していません。悪用の記載は今のところありませんが、更新が唯一の対策です。NASを外部へ公開している場合は、更新と同時に公開のしかたを見直してください。

DSMの版を確かめ、自分の系統の修正版以降へ更新する。
管理画面（DSMのポート）をインターネットに直接公開していないかを確かめる。
更新後、同じ勧告のrsyncの不備（CVE-2026-85101）もあわせて直ったことを確かめる。
更新の前に、バックアップが取れていて、復元できることを確かめる。

NASは、データの置き場であり、攻撃の標的にもなる

NASには、社内の共有ファイルやバックアップが集まります。認証不要でファイルの読み書きができる不備は、データの漏えいや改ざん、暗号化につながり得ます。Synologyの機器を狙うランサムウェアについては、Synology DSMを狙うランサムウェア攻撃で整理しています。

どんな脆弱性か

Synologyの勧告は、DSMのAuth APIに、SQLコマンドで使う特殊文字の不適切な処理（CWE-89）があり、リモートの攻撃者が任意のファイルを読み書きし、サービス拒否を起こせる可能性があると説明しています。CVSSのとおり、認証（PR:N）も利用者の操作（UI:N）も要りません。詳しい仕組みはSQLインジェクションとはを参照してください。

ネットワークから到達できる（AV:N）ことが前提です。管理画面がインターネットや信頼できないネットワークから届く状態だと、リスクが上がります。
悪用の手順や、どのリクエストが危険かは、勧告に書かれておらず、当サイトも記載しません。
発見は、外部の研究者の報告によります。

影響範囲

項目	内容
製品	Synology DiskStation Manager（DSM）
DSM 7.4	7.4.1-90080-1 以降へ更新
DSM 7.3	7.3.2-86009-5 以降へ更新
DSM 7.2.2	7.2.2-72806-10 以降へ更新
DSM 7.2.1	7.2.1-69057-13 以降へ更新
回避策・緩和策	なし（Synologyの勧告）

勧告に載っているのは上の4系統だけです。DSM 7.2.1より古い系統（7.1や6.xなど）については、勧告に記載がありません。CVE.orgの記録でも「不明」とされています。古いDSMを使っている場合は、Synologyに確認し、サポート状況を見て更新または入れ替えを検討してください。
勧告に、DSM以外の製品（SRMなど）の記載はありません。

同じ勧告のもう1件：CVE-2026-85101

項目	内容
内容	DSMのrsyncにある、別の経路による認証バイパス（CWE-288）
深刻度	CVSS v3.1 8.6（High）。認証不要
影響	特定のファイルの読み取り、任意のファイルの書き込み、限定的なサービス拒否（Synologyの説明）
対象・修正	CVE-2026-76954と同じ版・同じ修正版

更新すれば、2件とも直ります。rsyncでNASへバックアップしている場合は、更新後も接続できるかを確かめてください。

自分が対象か確かめる方法

DSMの版を確認する

DSMにログインし、「コントロールパネル」→「情報センター」→「概要」でDSMの版を見ます。7.4なら7.4.1-90080-1、7.3なら7.3.2-86009-5、7.2.2なら7.2.2-72806-10、7.2.1なら7.2.1-69057-13より古いと対象です。

NASが外部から届くかを確認する

ルーターのポート開放（転送）の設定や、外部からの接続機能を使っていないかを確かめます。外部からDSMのログイン画面が開けるなら、攻撃面になっています。社内のネットワークからだけ届く構成なら、リスクはその分低くなります。

NASの台数を洗い出す

部署や拠点ごとに、管理者が把握していないNASが動いていないかを確かめます。台帳の作り方は資産棚卸しチェックリストを参照してください。

今日やること

バックアップを確認してから、DSMを更新する（最優先）

更新の前に、重要なデータのバックアップが取れていて、復元できることを確かめます（バックアップの基本）。そのうえで、「コントロールパネル」→「更新と復元」から、自分の系統の修正版以降へ更新します。更新の途中は再起動が入ることがあるので、利用者への周知と時間帯を決めてください。

管理画面をインターネットに直接出さない

Synologyの勧告に回避策はありませんが、当サイトの補足として、一般的な防御を挙げます。ルーターのポート開放でDSMの管理画面を公開しているなら止め、外から使う必要があれば、VPNを通す構成にします。更新ができないNASは、特に、外から届かないようにしてください。

アクセス元を絞る

NASのファイアウォール機能で、管理画面に接続できる送信元を、社内のネットワークや必要な機器に絞ります。

更新後に不審な点を確認する

悪用の記載はありませんが、更新までの間に不審なことがなかったかを確かめます。見覚えのないアカウントや共有フォルダ、設定の変更、サインインの履歴を見ます。不審なら、パスワードの変更と、バックアップからの復元を検討してください。

サポート終了の機器を整理する

修正版が出ない古いDSMのNASは、外部から届かない状態にした上で、入れ替えを計画します。

悪用状況

Synologyの勧告に、悪用の記載はありません。
CISAのKEVの11月10日版カタログには載っていません。
勧告の状態は「Resolved」（修正済み）で、改訂は初版（2026年11月10日）だけです。
攻撃の規模・手口・攻撃者についての公開情報は、確認できませんでした。
悪用の記載がないことは、悪用がないことを意味しません。認証不要の高い評価（9.8）なので、更新を優先してください。

出典

Synology — Synology-SA-26:19 DSM（2026年11月10日公開。CVE 2件、対象・修正版、回避策なし）
CVE.org — CVE-2026-76954（2026年11月12日登録。CWE-89、CVSS 9.8）
CVE.org — CVE-2026-85101（rsyncの認証バイパス。CWE-288、CVSS 8.6）
CISA KEV — Known Exploited Vulnerabilities Catalog（11月10日版カタログに未掲載）

管理画面を外部に公開しない、VPNを通す、といった対策は、当サイトが一般的な防御として挙げたもので、Synologyの勧告に書かれた回避策ではありません。最終確認：2026年11月13日。

よくある質問

QCVE-2026-76954とは何ですか？

Synology DiskStation Manager（DSM）のAuth APIにある、SQLコマンドで使う特殊文字の不適切な処理（CWE-89、SQLインジェクション）です。Synologyの勧告SA-26:19は、リモートの攻撃者が任意のファイルの読み書きやサービス拒否を行える可能性があると説明しています。CVSS v3.1は9.8（Critical）で、認証は不要です。

Qどの版が対象で、修正はどれですか？

Synologyの勧告では、DSM 7.4は7.4.1-90080-1以降、DSM 7.3は7.3.2-86009-5以降、DSM 7.2.2は7.2.2-72806-10以降、DSM 7.2.1は7.2.1-69057-13以降への更新が修正です。勧告に載っているのはこの4系統だけで、それより古い系統（DSM 7.1以前など）の記載はありません。

Q更新できない間の回避策はありますか？

Synologyの勧告は、回避策（Mitigation）を「None」としています。更新の代わりになる設定は案内されていません。当サイトの補足として、更新までの間は、NASの管理画面をインターネットから到達できない状態にする（ポート開放の停止、ファイアウォールでの制限）ことが、一般的な被害の抑え方です。

Qすでに悪用されていますか？

勧告に悪用の記載はなく、CISAのKEV（悪用が確認された脆弱性の一覧）の11月10日版カタログにも載っていません。ただしSynologyの機器は過去に実際の攻撃を受けており（<a href='/ja/learn/synology-dsm-ransomware-attacks-2026'>Synology DSMを狙うランサムウェア攻撃</a>を参照）、認証不要でネットワークから到達できる深刻度の高い脆弱性なので、早く更新してください。

Q同じ勧告のCVE-2026-85101は何ですか？

DSMのrsyncにある、別の経路による認証バイパス（CWE-288）で、CVSSは8.6（High）です。Synologyは、リモートの攻撃者が特定のファイルの読み取りや任意のファイルの書き込み、限定的なサービス拒否を行える可能性があると説明しています。対象版と修正版はCVE-2026-76954と同じなので、更新で両方が直ります。