위협 피드

위험CVSS9.8#CVE-2026-76954 #Synology #DSM #DiskStation Manager #NAS #SQL 인젝션 #인증 불필요 #SA-26:19 #CVE-2026-85101

CVE-2026-76954 — Synology DSM Auth API의 SQL 인젝션(인증 불필요, CVSS 9.8, 7.2.1-69057-13 등에서 수정): 해설과 대책

CVE-2026-76954: Synology DSM Auth API의 인증 없는 SQL 인젝션(CVSS 9.8). DSM 7.4, 7.3, 7.2.2, 7.2.1에서 수정. 회피책 없음, 악용 보고 없음.

게시 2026-11-13 업데이트 2026-11-13 최종 확인 2026-11-13 6분 읽기

이 페이지에서

Synology DSM Auth API의 인증 없는 SQL 인젝션 해설입니다. 무슨 일이 일어나는지, 누가 영향을 받는지, 어떻게 대응해야 하는지를 방어하는 쪽의 관점에서, 공격 절차 없이 설명합니다.

권고 요약 — ADVISORY

CVE: CVE-2026-76954 (Synology DSM Auth API의 SQL 인젝션). 권고 Synology-SA-26:19
심각도: CVSS v3.1 9.8 (Critical, 벡터 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, Synology가 부여)
유형: SQL 명령에 쓰이는 특수 요소의 부적절한 무력화(CWE-89). 인증 불필요
영향: 원격 공격자가 임의의 파일을 읽거나 쓰고 서비스 거부를 일으킬 수 있음(Synology의 설명)
영향 대상: DSM 7.4(7.4.1-90080-1 미만), 7.3(7.3.2-86009-5 미만), 7.2.2(7.2.2-72806-10 미만), 7.2.1(7.2.1-69057-13 미만)
수정: 7.4.1-90080-1 / 7.3.2-86009-5 / 7.2.2-72806-10 / 7.2.1-69057-13 (이상)
공개: 권고는 2026년 11월 10일, CVE.org 레코드는 11월 12일
회피책: Synology의 권고: "None"
악용: 보고 없음. CISA KEV 11월 10일판에는 없음

9.8

CVSS v3.1 (Synology)

인증 없음

네트워크로 닿으면 공격 가능

없음

회피책 (권고)

4개 계열

수정이 있는 DSM 계열

인증 없이 공격할 수 있고 회피책도 없습니다. DSM을 수정된 릴리스로 업데이트하고 관리 인터페이스를 인터넷에 노출하지 마세요

이 결함은 로그인 전에 동작하는 API에 있으며 Synology는 회피책을 제시하지 않습니다. 지금까지 악용은 보고되지 않았지만, 업데이트가 유일한 수정입니다. NAS를 외부에 노출하고 있다면 업데이트하면서 노출 방식도 다시 생각하세요.

DSM 버전을 확인하고, 해당 계열의 수정된 릴리스 이상으로 업데이트하세요.
관리 인터페이스(DSM의 포트)가 인터넷에 직접 노출되어 있는지 확인하세요.
업데이트 후 같은 권고의 rsync 문제(CVE-2026-85101)도 수정되었는지 확인하세요.
업데이트 전에 백업이 있고 복원할 수 있는지 확인하세요.

NAS는 데이터가 있는 곳이자 표적입니다

NAS에는 공유 파일과 백업이 모입니다. 인증 없이 파일을 읽고 쓸 수 있는 결함은 데이터 유출, 변조, 암호화로 이어질 수 있습니다. Synology 기기를 노리는 랜섬웨어는 Synology DSM 대상 랜섬웨어 공격을 보세요.

어떤 취약점인가

Synology의 권고는 DSM Auth API에 SQL 명령에 쓰이는 특수 요소의 부적절한 무력화(CWE-89)가 있으며, 원격 공격자가 임의의 파일을 읽거나 쓰고 서비스 거부를 일으킬 수 있다고 밝힙니다. CVSS 벡터에서 보듯 인증(PR:N)도 사용자 상호작용(UI:N)도 필요 없습니다. 배경은 SQL 인젝션이란?을 보세요.

기기에 네트워크로 닿을 수 있다는 것(AV:N)이 전제입니다. 관리 인터페이스에 인터넷이나 신뢰할 수 없는 네트워크에서 닿을 수 있으면 위험이 커집니다.
권고는 악용 방법이나 위험한 요청을 설명하지 않으며, 이 사이트도 설명하지 않습니다.
외부 연구자의 보고로 발견되었습니다.

영향 범위

항목	내용
제품	Synology DiskStation Manager(DSM)
DSM 7.4	7.4.1-90080-1 이상으로 업데이트
DSM 7.3	7.3.2-86009-5 이상으로 업데이트
DSM 7.2.2	7.2.2-72806-10 이상으로 업데이트
DSM 7.2.1	7.2.1-69057-13 이상으로 업데이트
회피책 / 완화책	없음(Synology의 권고)

권고는 이 네 계열만 나열합니다. DSM 7.2.1보다 오래된 계열(7.1, 6.x 등)에 대해서는 언급이 없고 CVE.org 레코드는 이를 "unknown"으로 표시합니다. 더 오래된 DSM을 쓰고 있다면 Synology에 문의하고 지원 상태를 확인한 뒤 업데이트나 기기 교체를 고려하세요.
권고는 DSM 외의 제품(예: SRM)을 나열하지 않습니다.

같은 권고의 나머지 문제: CVE-2026-85101

항목	내용
내용	DSM의 rsync에서 대체 경로나 채널을 이용한 인증 우회(CWE-288)
심각도	CVSS v3.1 8.6(High). 인증 불필요
영향	특정 파일 읽기, 임의 파일 쓰기, 제한적인 서비스 거부(Synology의 설명)
영향 / 수정	CVE-2026-76954와 같은 버전과 수정 릴리스

한 번의 업데이트로 둘 다 수정됩니다. rsync로 NAS에 백업한다면 업데이트 후에도 연결이 동작하는지 확인하세요.

영향 여부 확인 방법

DSM 버전 확인

DSM에 로그인해 제어판, 정보 센터, 일반에서 DSM 버전을 확인하세요. DSM 7.4가 7.4.1-90080-1 미만, 7.3이 7.3.2-86009-5 미만, 7.2.2가 7.2.2-72806-10 미만, 7.2.1이 7.2.1-69057-13 미만이면 영향을 받습니다.

NAS에 외부에서 닿을 수 있는지 확인

공유기의 포트 포워딩과 사용하는 원격 접속 기능을 확인하세요. 외부에서 DSM 로그인 페이지가 열린다면 그것이 공격 표면입니다. NAS에 내부 네트워크에서만 닿을 수 있다면 그만큼 위험이 낮습니다.

NAS가 몇 대인지 파악

관리자가 모르는 NAS를 쓰는 부서나 거점이 없는지 확인하세요. 목록을 유지하는 방법은 자산 목록 체크리스트를 보세요.

오늘 해야 할 일

백업을 확인한 뒤 DSM을 업데이트(최우선)

업데이트하기 전에 중요한 데이터의 백업이 있고 복원할 수 있는지 확인하세요(백업 기본). 그런 다음 제어판, 업데이트 및 복원에서 해당 계열의 수정된 릴리스 이상으로 업데이트하세요. 업데이트로 기기가 재부팅될 수 있으므로 사용자에게 알리고 시간을 정하세요.

관리 인터페이스를 인터넷에 직접 노출하지 않기

Synology의 권고에는 회피책이 없으므로 이는 이 사이트가 더하는 일반적인 방어입니다. DSM의 관리 인터페이스를 공유기 포트 포워딩으로 공개하고 있다면 중단하고, 외부에서 접속해야 한다면 VPN을 거치세요. 업데이트할 수 없는 NAS는 무엇보다 외부에서 닿지 않게 하세요.

접속 출처 주소 제한

NAS 방화벽으로 관리 인터페이스에 접속할 수 있는 대상을 내부 네트워크나 필요한 기기로 제한하세요.

업데이트 후 이상 징후 확인

악용은 보고되지 않았지만, 업데이트 전에 이상한 일이 없었는지 확인하세요. 모르는 계정이나 공유 폴더, 설정 변경, 로그인 기록을 살펴보세요. 이상하면 비밀번호 변경과 백업에서의 복원을 고려하세요.

지원이 끝난 기기 대책

수정이 제공되지 않는 오래된 DSM의 NAS는 외부에서 닿지 않게 하고 교체를 계획하세요.

악용 상황

Synology의 권고는 악용을 언급하지 않습니다.
CISA KEV 카탈로그의 11월 10일판에는 없습니다.
권고의 상태는 "Resolved"이며 개정은 최초 릴리스(2026년 11월 10일)뿐입니다.
공격의 규모, 기법, 공격 주체에 대한 공개 정보는 확인할 수 없었습니다.
악용이 보고되지 않았다고 해서 없다는 뜻은 아닙니다. 인증이 필요 없는 높은 등급(9.8)이므로 업데이트를 우선하세요.

출처

Synology — Synology-SA-26:19 DSM (2026년 11월 10일 공개. CVE 두 건, 영향받는 버전과 수정 버전, 완화책 없음)
CVE.org — CVE-2026-76954 (2026년 11월 12일 등록. CWE-89, CVSS 9.8)
CVE.org — CVE-2026-85101 (rsync 인증 우회. CWE-288, CVSS 8.6)
CISA KEV — Known Exploited Vulnerabilities Catalog (카탈로그의 11월 10일판에는 없음)

관리 인터페이스를 인터넷에 노출하지 않는 것과 VPN을 거쳐 접속하는 것은 이 사이트가 일반적인 방어로 적어 둔 것이며 Synology의 권고에 명시된 회피책이 아닙니다. 최종 확인: 2026년 11월 13일.

FAQ

QCVE-2026-76954는 무엇인가요?

Synology DiskStation Manager(DSM)의 Auth API에서 SQL 명령에 쓰이는 특수 요소가 적절히 무력화되지 않는 결함(CWE-89, SQL 인젝션)입니다. Synology의 권고 SA-26:19는 원격 공격자가 임의의 파일을 읽거나 쓰고 서비스 거부 공격을 할 수 있다고 밝힙니다. CVSS v3.1은 9.8(Critical)이며 인증이 필요 없습니다.

Q영향받는 버전과 수정은 무엇인가요?

Synology의 권고에 따르면 수정은 다음과 같습니다: DSM 7.4는 7.4.1-90080-1 이상, DSM 7.3은 7.3.2-86009-5 이상, DSM 7.2.2는 7.2.2-72806-10 이상, DSM 7.2.1은 7.2.1-69057-13 이상. 권고는 이 네 계열만 나열하며 그보다 오래된 계열(예: DSM 7.1 이하)에 대해서는 언급이 없습니다.

Q아직 업데이트할 수 없다면 회피책이 있나요?

Synology의 권고는 완화책을 "None"으로 적었습니다. 업데이트를 대신할 설정은 제시되지 않았습니다. 이 사이트의 자체 보충으로, 업데이트할 때까지 피해를 줄이는 일반적인 방법은 NAS 관리 인터페이스를 인터넷에서 닿지 않게 하는 것입니다(포트 포워딩을 닫고 방화벽으로 제한).

Q이미 악용되고 있나요?

권고는 악용을 언급하지 않으며, CISA KEV(Known Exploited Vulnerabilities) 카탈로그의 11월 10일판에도 없습니다. 하지만 Synology 기기는 과거에 공격받은 적이 있고(<a href='/ko/learn/synology-dsm-ransomware-attacks-2026'>Synology DSM 대상 랜섬웨어 공격</a> 참조), 이 결함은 인증 없이 네트워크로 닿을 수 있는 심각도 높은 결함이므로 서둘러 업데이트하세요.

Q같은 권고의 CVE-2026-85101은 무엇인가요?

DSM의 rsync에서 대체 경로나 채널을 이용한 인증 우회(CWE-288)이며 CVSS는 8.6(High)입니다. Synology는 원격 공격자가 특정 파일을 읽고, 임의의 파일을 쓰고, 제한적인 서비스 거부 공격을 할 수 있다고 밝힙니다. 영향받는 버전과 수정 버전은 CVE-2026-76954와 같아서 한 번의 업데이트로 둘 다 수정됩니다.