这是一篇关于 Synology DSM Auth API 中未认证 SQL 注入的解析。本文从防御方的角度说明发生了什么、谁受影响以及如何应对，不涉及攻击步骤。
- CVE
- CVE-2026-76954（Synology DSM Auth API 中的 SQL 注入）。公告 Synology-SA-26:19
- 严重度
- CVSS v3.1 9.8（Critical；向量 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H；由 Synology 分配）
- 类型
- SQL 命令中特殊元素的不当中和（CWE-89）。无需认证
- 影响
- 远程攻击者可能读取或写入任意文件并进行拒绝服务（Synology 的描述）
- 受影响
- DSM 7.4（7.4.1-90080-1 之前）、7.3（7.3.2-86009-5 之前）、7.2.2（7.2.2-72806-10 之前）、7.2.1（7.2.1-69057-13 之前）
- 修复
- 7.4.1-90080-1 / 7.3.2-86009-5 / 7.2.2-72806-10 / 7.2.1-69057-13（或更高）
- 发布
- 公告于2026年11月10日；CVE.org 记录于11月12日
- 临时解决办法
- Synology 的公告：“None”
- 利用情况
- 未见报告。未列入 CISA KEV 的 11 月 10 日版本
NAS 既是数据所在之处，也是攻击目标
NAS 汇集了共享文件和备份。一个无需认证即可读写文件的缺陷，可能导致数据泄露、篡改或加密。关于针对 Synology 设备的勒索软件，见针对 Synology DSM 的勒索软件攻击。
这是什么样的漏洞
Synology 的公告称，DSM Auth API 中存在 SQL 命令使用的特殊元素被不当中和的问题（CWE-89），远程攻击者可能读取或写入任意文件并造成拒绝服务。从 CVSS 向量可以看出，既不需要认证（PR:N），也不需要用户交互（UI:N）。背景知识见什么是 SQL 注入。
- 它以设备可通过网络触及（AV:N）为前提。当管理界面可从互联网或不受信任的网络访问时，风险会上升。
- 公告没有描述如何利用，也没有说明哪些请求是危险的，本站也不作说明。
- 它是通过外部研究人员的报告发现的。
受影响范围
| 项目 | 详情 |
|---|---|
| 产品 | Synology DiskStation Manager（DSM） |
| DSM 7.4 | 更新到 7.4.1-90080-1 或更高 |
| DSM 7.3 | 更新到 7.3.2-86009-5 或更高 |
| DSM 7.2.2 | 更新到 7.2.2-72806-10 或更高 |
| DSM 7.2.1 | 更新到 7.2.1-69057-13 或更高 |
| 临时解决办法 / 缓解措施 | 无（Synology 的公告） |
- 公告只列出了这四个系列。对于比 DSM 7.2.1 更旧的系列（7.1、6.x 等），公告只字未提，CVE.org 记录也将其标记为“unknown”。如果您运行的是更旧的 DSM，请咨询 Synology，确认其支持状态，并考虑更新或更换设备。
- 公告没有列出 DSM 以外的产品（例如 SRM）。
同一公告中的另一个问题：CVE-2026-85101
| 项目 | 详情 |
|---|---|
| 内容 | DSM 的 rsync 中使用备用路径或通道的认证绕过（CWE-288） |
| 严重度 | CVSS v3.1 8.6（High）。无需认证 |
| 影响 | 读取特定文件、写入任意文件、有限的拒绝服务（Synology 的描述） |
| 受影响 / 修复 | 与 CVE-2026-76954 的版本和修复版本相同 |
一次更新即可修复两者。如果您通过 rsync 向 NAS 备份，请在更新后检查连接是否仍然正常。
如何确认自己是否受影响
检查 DSM 版本
登录 DSM，依次打开控制面板、信息中心、常规，即可看到 DSM 版本。低于 7.4.1-90080-1 的 DSM 7.4、低于 7.3.2-86009-5 的 7.3、低于 7.2.2-72806-10 的 7.2.2，或低于 7.2.1-69057-13 的 7.2.1 均受影响。
检查 NAS 是否可从外部访问
检查路由器的端口转发以及您使用的任何远程访问功能。如果可以从外部打开 DSM 登录页面，那就是攻击面。如果 NAS 只能从内部网络访问，风险会相应降低。
清点您的 NAS 设备
检查是否有部门或站点运行着管理员不知道的 NAS。关于如何维护清单，见资产清单检查表。
今天该做什么
先检查备份，然后更新 DSM（最优先）
更新之前，确认重要数据的备份存在且可以恢复（备份要点）。然后依次进入控制面板、更新和还原，更新到所属系列的修复版本或更高版本。更新可能会重启设备，因此请通知用户并选择合适的时间。
不要把管理界面直接暴露在互联网上
Synology 的公告没有临时解决办法，因此这是本站补充的一般性防御措施。如果 DSM 的管理界面通过路由器端口转发对外发布，请停止；如果需要从外部访问，请通过 VPN。对于无法更新的 NAS，首先要确保它无法从外部访问。
限制来源地址
使用 NAS 的防火墙，把可连接管理界面的来源限制在内部网络或需要访问的设备。
更新后检查是否有异常
虽然未见利用报告，但请检查更新之前是否发生过异常。查看是否有不认识的账户或共享文件夹、配置变更和登录记录。如果有可疑之处，请考虑更改密码并从备份恢复。
为已停止支持的设备做好计划
对于运行旧版 DSM、不会再收到修复的 NAS，请让它无法从外部访问，并规划更换。
利用情况
- Synology 的公告没有提到利用。
- 它未列入 CISA KEV 目录的 11 月 10 日版本。
- 公告的状态为“Resolved”，唯一的修订是初次发布（2026年11月10日）。
- 无法确认关于任何攻击的规模、手法或行为者的公开信息。
- 未见利用报告并不意味着不存在利用。对于无需认证的高评级（9.8）漏洞，请优先更新。
信息来源
- Synology — Synology-SA-26:19 DSM（2026年11月10日发布；两个 CVE、受影响版本和修复版本、无缓解措施）
- CVE.org — CVE-2026-76954（2026年11月12日记录；CWE-89，CVSS 9.8）
- CVE.org — CVE-2026-85101（rsync 认证绕过；CWE-288，CVSS 8.6）
- CISA KEV — Known Exploited Vulnerabilities Catalog（未列入该目录的 11 月 10 日版本）
让管理界面远离互联网并通过 VPN 访问，是本站在此列出的一般性防御措施，并非 Synology 公告中说明的临时解决办法。最后确认：2026年11月13日。
延伸阅读
- NAS：针对 Synology DSM 的勒索软件攻击
- 实务：漏洞响应实务手册 / 资产清单检查表
- 准备：备份要点
- 判断：用 CVSS、EPSS、KEV 确定优先级
- 术语：什么是 SQL 注入 / 什么是 CVSS？