Uma explicação de uma injeção de SQL sem autenticação na API Auth do Synology DSM. Cobre o que acontece, quem é afetado e como responder, do ponto de vista do defensor e sem passos de ataque.
- CVE
- CVE-2026-76954 (injeção de SQL na API Auth do Synology DSM). Boletim Synology-SA-26:19
- Gravidade
- CVSS v3.1 9.8 (Critical; vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H; atribuído pela Synology)
- Tipo
- Neutralização imprópria de elementos especiais em um comando SQL (CWE-89). Não é necessária autenticação
- Impacto
- Invasores remotos poderiam ler ou gravar arquivos arbitrários e realizar negação de serviço (descrição da Synology)
- Afetado
- DSM 7.4 (anterior à 7.4.1-90080-1), 7.3 (anterior à 7.3.2-86009-5), 7.2.2 (anterior à 7.2.2-72806-10), 7.2.1 (anterior à 7.2.1-69057-13)
- Correção
- 7.4.1-90080-1 / 7.3.2-86009-5 / 7.2.2-72806-10 / 7.2.1-69057-13 (ou superior)
- Publicado
- Boletim em 10 de novembro de 2026; registro da CVE.org em 12 de novembro
- Medida alternativa
- Boletim da Synology: «None»
- Exploração
- Nenhuma relatada. Não consta da edição de 10 de novembro do CISA KEV
Um NAS é ao mesmo tempo onde os dados vivem e um alvo
Um NAS reúne arquivos compartilhados e backups. Uma falha que permite leitura e gravação de arquivos sem autenticação pode levar a vazamento, adulteração ou criptografia de dados. Para ransomware voltado a dispositivos Synology, veja os ataques de ransomware ao Synology DSM.
Que tipo de vulnerabilidade é
O boletim da Synology diz que a API Auth do DSM tem neutralização imprópria de elementos especiais usados em um comando SQL (CWE-89), e que invasores remotos poderiam ler ou gravar arquivos arbitrários e causar negação de serviço. Como mostra o vetor CVSS, não são necessárias nem autenticação (PR:N) nem interação do usuário (UI:N). Para o contexto, veja o que é injeção de SQL.
- Pressupõe que o dispositivo seja acessível pela rede (AV:N). O risco aumenta quando a interface de administração pode ser alcançada pela internet ou por uma rede não confiável.
- O boletim não descreve como explorá-la nem quais requisições são perigosas, e este site também não.
- Foi encontrada por relato de um pesquisador externo.
Alcance afetado
| Item | Detalhe |
|---|---|
| Produto | Synology DiskStation Manager (DSM) |
| DSM 7.4 | Atualize para a 7.4.1-90080-1 ou superior |
| DSM 7.3 | Atualize para a 7.3.2-86009-5 ou superior |
| DSM 7.2.2 | Atualize para a 7.2.2-72806-10 ou superior |
| DSM 7.2.1 | Atualize para a 7.2.1-69057-13 ou superior |
| Medidas alternativas / mitigações | Nenhuma (boletim da Synology) |
- O boletim lista apenas essas quatro linhas. Não diz nada sobre as linhas anteriores ao DSM 7.2.1 (7.1, 6.x etc.), e o registro da CVE.org as marca como «unknown». Se você usa um DSM antigo, pergunte à Synology, verifique a situação de suporte e considere atualizar ou substituir o dispositivo.
- O boletim não lista outros produtos além do DSM (SRM, por exemplo).
O outro problema do mesmo boletim: CVE-2026-85101
| Item | Detalhe |
|---|---|
| O que é | Contorno de autenticação por caminho ou canal alternativo no rsync do DSM (CWE-288) |
| Gravidade | CVSS v3.1 8.6 (High). Não é necessária autenticação |
| Impacto | Ler arquivos específicos, gravar arquivos arbitrários, negação de serviço limitada (descrição da Synology) |
| Afetado / corrigido | As mesmas versões e versões corrigidas do CVE-2026-76954 |
Uma atualização corrige ambos. Se você faz backup para o NAS via rsync, confira se a conexão continua funcionando após atualizar.
Como verificar se você é afetado
Verifique a versão do DSM
Entre no DSM e abra Painel de Controle, depois Centro de Informações, depois Geral para ver a versão do DSM. São afetados o DSM 7.4 anterior à 7.4.1-90080-1, 7.3 anterior à 7.3.2-86009-5, 7.2.2 anterior à 7.2.2-72806-10 ou 7.2.1 anterior à 7.2.1-69057-13.
Verifique se o NAS é acessível de fora
Confira o redirecionamento de portas do seu roteador e os recursos de acesso remoto que você usa. Se a página de login do DSM abre de fora, isso é superfície de ataque. Se o NAS é acessível apenas pela rede interna, o risco é menor na mesma medida.
Conte seus dispositivos NAS
Verifique se algum departamento ou unidade tem um NAS que os administradores desconhecem. Para saber como manter uma lista, veja a lista de verificação do inventário de ativos.
O que fazer hoje
Confira os backups e depois atualize o DSM (prioridade máxima)
Antes de atualizar, confirme que existem backups dos dados importantes e que podem ser restaurados (fundamentos de backup). Depois vá a Painel de Controle, depois Atualizar e Restaurar, e atualize para a versão corrigida da sua linha ou posterior. A atualização pode reiniciar o dispositivo, então avise os usuários e escolha um horário.
Não exponha a interface de administração diretamente à internet
O boletim da Synology não tem medida alternativa, então esta é uma defesa geral acrescentada por este site. Se a interface de administração do DSM está publicada por redirecionamento de portas do roteador, interrompa-o, e se precisar de acesso de fora, passe por uma VPN. Para um NAS que você não pode atualizar, garanta acima de tudo que ele seja inacessível de fora.
Restrinja os endereços de origem
Use o firewall do NAS para limitar quem pode se conectar à interface de administração à rede interna ou aos dispositivos que precisam.
Procure qualquer coisa incomum depois de atualizar
Não há relato de exploração, mas confira se nada estranho aconteceu antes da atualização. Procure contas ou pastas compartilhadas que você não reconhece, alterações de configuração e o histórico de logins. Se algo parecer errado, considere trocar as senhas e restaurar a partir de um backup.
Planeje os dispositivos fora de suporte
Para um NAS com um DSM antigo que não receberá correção, torne-o inacessível de fora e planeje sua substituição.
Status da exploração
- O boletim da Synology não menciona exploração.
- Não consta da edição de 10 de novembro do catálogo KEV da CISA.
- A situação do boletim é «Resolved», e a única revisão é a publicação inicial (10 de novembro de 2026).
- Não foi possível confirmar informações públicas sobre a escala, as técnicas ou os atores de quaisquer ataques.
- A ausência de relato de exploração não significa que não exista. Com uma classificação alta e sem autenticação (9.8), priorize a atualização.
Fontes
- Synology — Synology-SA-26:19 DSM (publicado em 10 de novembro de 2026; dois CVEs, versões afetadas e corrigidas, sem mitigação)
- CVE.org — CVE-2026-76954 (registrado em 12 de novembro de 2026; CWE-89, CVSS 9.8)
- CVE.org — CVE-2026-85101 (contorno de autenticação do rsync; CWE-288, CVSS 8.6)
- CISA KEV — Known Exploited Vulnerabilities Catalog (não consta da edição de 10 de novembro do catálogo)
Manter a interface de administração fora da internet e dar o acesso por uma VPN são listados aqui por este site como defesas gerais; não são medidas alternativas indicadas no boletim da Synology. Última verificação: 13 de novembro de 2026.
Leia a seguir
- NAS: Ataques de ransomware ao Synology DSM
- Prática: O guia de correção de vulnerabilidades / Lista de verificação do inventário de ativos
- Preparação: Fundamentos de backup
- Decidir: Priorizar com CVSS, EPSS e KEV
- Termos: O que é injeção de SQL / O que é CVSS?