Разбор SQL-инъекции без аутентификации в Auth API Synology DSM. Описано, что происходит, кто затронут и как реагировать, с точки зрения защиты и без шагов атаки.
- CVE
- CVE-2026-76954 (SQL-инъекция в Auth API Synology DSM). Бюллетень Synology-SA-26:19
- Серьёзность
- CVSS v3.1 9.8 (Critical; вектор AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H; присвоено Synology)
- Тип
- Некорректная нейтрализация специальных элементов в SQL-команде (CWE-89). Аутентификация не требуется
- Последствия
- Удалённые злоумышленники могут читать или записывать произвольные файлы и вызывать отказ в обслуживании (описание Synology)
- Затронуто
- DSM 7.4 (до 7.4.1-90080-1), 7.3 (до 7.3.2-86009-5), 7.2.2 (до 7.2.2-72806-10), 7.2.1 (до 7.2.1-69057-13)
- Исправление
- 7.4.1-90080-1 / 7.3.2-86009-5 / 7.2.2-72806-10 / 7.2.1-69057-13 (или выше)
- Опубликовано
- Бюллетень — 10 ноября 2026 года; запись CVE.org — 12 ноября
- Обходное решение
- Бюллетень Synology: "None"
- Эксплуатация
- Не сообщается. В выпуске CISA KEV от 10 ноября нет
NAS — это и место, где хранятся данные, и цель
В NAS собираются общие файлы и резервные копии. Ошибка, позволяющая читать и записывать файлы без аутентификации, может привести к утечке, подмене или шифрованию данных. О программах-вымогателях, нацеленных на устройства Synology, см. атаки программ-вымогателей на Synology DSM.
Что это за уязвимость
В бюллетене Synology сказано, что в Auth API DSM есть некорректная нейтрализация специальных элементов, используемых в SQL-команде (CWE-89), и что удалённые злоумышленники могут читать или записывать произвольные файлы и вызывать отказ в обслуживании. Как видно из вектора CVSS, не нужны ни аутентификация (PR:N), ни действия пользователя (UI:N). Подробнее см. что такое SQL-инъекция.
- Предполагается, что устройство доступно по сети (AV:N). Риск растёт, если до интерфейса управления можно добраться из интернета или недоверенной сети.
- В бюллетене не описано, как эксплуатировать уязвимость и какие запросы опасны, и этот сайт тоже этого не описывает.
- Она найдена по сообщению внешнего исследователя.
Затронутый объём
| Позиция | Подробности |
|---|---|
| Продукт | Synology DiskStation Manager (DSM) |
| DSM 7.4 | Обновитесь до 7.4.1-90080-1 или выше |
| DSM 7.3 | Обновитесь до 7.3.2-86009-5 или выше |
| DSM 7.2.2 | Обновитесь до 7.2.2-72806-10 или выше |
| DSM 7.2.1 | Обновитесь до 7.2.1-69057-13 или выше |
| Обходные решения / меры смягчения | Нет (бюллетень Synology) |
- В бюллетене перечислены только эти четыре линии. О линиях старше DSM 7.2.1 (7.1, 6.x и так далее) ничего не сказано, а запись CVE.org помечает их как "unknown". Если у вас более старый DSM, обратитесь в Synology, проверьте статус поддержки и рассмотрите обновление или замену устройства.
- В бюллетене нет продуктов, кроме DSM (например, SRM).
Другая проблема из того же бюллетеня: CVE-2026-85101
| Позиция | Подробности |
|---|---|
| Что это | Обход аутентификации через альтернативный путь или канал в rsync DSM (CWE-288) |
| Серьёзность | CVSS v3.1 8.6 (High). Аутентификация не требуется |
| Последствия | Чтение определённых файлов, запись произвольных файлов, ограниченный отказ в обслуживании (описание Synology) |
| Затронуто / исправлено | Те же версии и исправленные выпуски, что у CVE-2026-76954 |
Одно обновление исправляет обе. Если вы делаете резервные копии на NAS по rsync, после обновления проверьте, что соединение по-прежнему работает.
Как проверить, затронуты ли вы
Проверьте версию DSM
Войдите в DSM и откройте Панель управления, затем Центр информации, затем Общие, чтобы увидеть версию DSM. Затронуты DSM 7.4 ниже 7.4.1-90080-1, 7.3 ниже 7.3.2-86009-5, 7.2.2 ниже 7.2.2-72806-10 и 7.2.1 ниже 7.2.1-69057-13.
Проверьте, доступен ли NAS снаружи
Проверьте проброс портов на маршрутизаторе и используемые функции удалённого доступа. Если страница входа DSM открывается снаружи, это поверхность атаки. Если NAS доступен только из внутренней сети, риск соответственно ниже.
Посчитайте свои NAS
Проверьте, нет ли отделов или площадок, где работает NAS, о котором администраторы не знают. Как вести список, см. в чек-листе инвентаризации активов.
Что сделать сегодня
Проверьте резервные копии, затем обновите DSM (высший приоритет)
Перед обновлением убедитесь, что резервные копии важных данных есть и их можно восстановить (основы резервного копирования). Затем откройте Панель управления, затем Обновление и восстановление и обновитесь до исправленного выпуска вашей линии или новее. Обновление может перезагрузить устройство, поэтому предупредите пользователей и выберите время.
Не выставляйте интерфейс управления напрямую в интернет
В бюллетене Synology обходного решения нет, поэтому это общая защита, добавленная этим сайтом. Если интерфейс управления DSM опубликован через проброс портов на маршрутизаторе, прекратите это, а если нужен доступ снаружи, пропустите его через VPN. Для NAS, который нельзя обновить, прежде всего добейтесь, чтобы он был недоступен снаружи.
Ограничьте адреса источников
С помощью межсетевого экрана NAS ограничьте тех, кто может подключаться к интерфейсу управления, внутренней сетью или нужными устройствами.
После обновления проверьте, нет ли чего-то необычного
Об эксплуатации не сообщается, но проверьте, не происходило ли чего-то странного до обновления. Ищите незнакомые учётные записи или общие папки, изменения конфигурации и историю входов. Если что-то выглядит не так, рассмотрите смену паролей и восстановление из резервной копии.
Продумайте устройства, снятые с поддержки
Для NAS на старом DSM, который не получит исправления, сделайте его недоступным снаружи и запланируйте замену.
Состояние эксплуатации
- В бюллетене Synology эксплуатация не упоминается.
- В выпуске каталога CISA KEV от 10 ноября её нет.
- Статус бюллетеня — "Resolved", единственная редакция — первоначальный выпуск (10 ноября 2026 года).
- Публичных сведений о масштабе, методах или участниках атак подтвердить не удалось.
- Отсутствие сообщений об эксплуатации не означает, что её нет. При высокой оценке без аутентификации (9.8) ставьте обновление в приоритет.
Источники
- Synology — Synology-SA-26:19 DSM (опубликовано 10 ноября 2026 года; два CVE, затронутые и исправленные версии, мер смягчения нет)
- CVE.org — CVE-2026-76954 (внесено 12 ноября 2026 года; CWE-89, CVSS 9.8)
- CVE.org — CVE-2026-85101 (обход аутентификации в rsync; CWE-288, CVSS 8.6)
- CISA KEV — Known Exploited Vulnerabilities Catalog (в выпуске каталога от 10 ноября не значится)
Недопущение интерфейса управления в интернет и доступ через VPN приведены здесь этим сайтом как общая защита; это не обходные решения, названные в бюллетене Synology. Последняя проверка: 13 ноября 2026 года.
Читайте далее
- NAS: Атаки программ-вымогателей на Synology DSM
- Практика: Плейбук устранения уязвимостей / Чек-лист инвентаризации активов
- Подготовка: Основы резервного копирования
- Решение: Приоритизация по CVSS, EPSS и KEV
- Термины: Что такое SQL-инъекция / Что такое CVSS?