重大CVSS9.82026-11-13
CVE-2026-76954 — Synology DSMのAuth APIにSQLインジェクション（認証不要・CVSS 9.8、修正版は7.2.1-69057-13ほか）の解説と対応策
Synology DiskStation Manager（DSM）のAuth APIにある、SQLコマンドの特殊文字の不適切な処理（CWE-89）。Synologyの勧告SA-26:19は、リモートの攻撃者が任意のファイルの読み書きとサービス拒否を行えると説明し、CVSSは9.8（認証不要）。DSM 7.4・7.3・7.2.2・7.2.1に修正版があり、回避策は「なし」。悪用の記載はない。同じ勧告のrsyncの認証バイパス（CVE-2026-85101、8.6）も同じ版で直る。当サイトの結論：NASをインターネットに直接公開しているなら最優先でDSMを更新し、公開そのものを見直す。