這是一篇關於 Synology DSM Auth API 中未認證 SQL 注入的解析。本文從防禦方的角度說明發生了什麼、誰受影響以及如何應對，不涉及攻擊步驟。
- CVE
- CVE-2026-76954（Synology DSM Auth API 中的 SQL 注入）。公告 Synology-SA-26:19
- 嚴重度
- CVSS v3.1 9.8（Critical；向量 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H；由 Synology 分配）
- 型別
- SQL 命令中特殊元素的不當中和（CWE-89）。無需認證
- 影響
- 遠端攻擊者可能讀取或寫入任意檔案並進行拒絕服務（Synology 的描述）
- 受影響
- DSM 7.4（7.4.1-90080-1 之前）、7.3（7.3.2-86009-5 之前）、7.2.2（7.2.2-72806-10 之前）、7.2.1（7.2.1-69057-13 之前）
- 修復
- 7.4.1-90080-1 / 7.3.2-86009-5 / 7.2.2-72806-10 / 7.2.1-69057-13（或更高）
- 發布
- 公告於2026年11月10日；CVE.org 記錄於11月12日
- 臨時解決辦法
- Synology 的公告：“None”
- 利用情況
- 未見報告。未列入 CISA KEV 的 11 月 10 日版本
NAS 既是資料所在之處，也是攻擊目標
NAS 彙集了共享檔案和備份。一個無需認證即可讀寫檔案的缺陷，可能導致資料外洩、篡改或加密。關於針對 Synology 裝置的勒索軟體，見針對 Synology DSM 的勒索軟體攻擊。
這是什麼樣的漏洞
Synology 的公告稱，DSM Auth API 中存在 SQL 命令使用的特殊元素被不當中和的問題（CWE-89），遠端攻擊者可能讀取或寫入任意檔案並造成拒絕服務。從 CVSS 向量可以看出，既不需要認證（PR:N），也不需要使用者互動（UI:N）。背景知識見什麼是 SQL 注入。
- 它以裝置可透過網路觸及（AV:N）為前提。當管理介面可從網際網路或不受信任的網路存取時，風險會上升。
- 公告沒有描述如何利用，也沒有說明哪些請求是危險的，本站也不作說明。
- 它是透過外部研究人員的報告發現的。
受影響範圍
| 項目 | 詳情 |
|---|---|
| 產品 | Synology DiskStation Manager（DSM） |
| DSM 7.4 | 更新到 7.4.1-90080-1 或更高 |
| DSM 7.3 | 更新到 7.3.2-86009-5 或更高 |
| DSM 7.2.2 | 更新到 7.2.2-72806-10 或更高 |
| DSM 7.2.1 | 更新到 7.2.1-69057-13 或更高 |
| 臨時解決辦法 / 緩解措施 | 無（Synology 的公告） |
- 公告只列出了這四個系列。對於比 DSM 7.2.1 更舊的系列（7.1、6.x 等），公告隻字未提，CVE.org 記錄也將其標記為“unknown”。如果您執行的是更舊的 DSM，請諮詢 Synology，確認其支援狀態，並考慮更新或更換裝置。
- 公告沒有列出 DSM 以外的產品（例如 SRM）。
同一公告中的另一個問題：CVE-2026-85101
| 項目 | 詳情 |
|---|---|
| 內容 | DSM 的 rsync 中使用備用路徑或通道的認證繞過（CWE-288） |
| 嚴重度 | CVSS v3.1 8.6（High）。無需認證 |
| 影響 | 讀取特定檔案、寫入任意檔案、有限的拒絕服務（Synology 的描述） |
| 受影響 / 修復 | 與 CVE-2026-76954 的版本和修復版本相同 |
一次更新即可修復兩者。如果您透過 rsync 向 NAS 備份，請在更新後檢查連線是否仍然正常。
如何確認自己是否受影響
檢查 DSM 版本
登入 DSM，依次開啟控制面板、資訊中心、常規，即可看到 DSM 版本。低於 7.4.1-90080-1 的 DSM 7.4、低於 7.3.2-86009-5 的 7.3、低於 7.2.2-72806-10 的 7.2.2，或低於 7.2.1-69057-13 的 7.2.1 均受影響。
檢查 NAS 是否可從外部存取
檢查路由器的埠轉發以及您使用的任何遠端存取功能。如果可以從外部開啟 DSM 登入頁面，那就是攻擊面。如果 NAS 只能從內部網路存取，風險會相應降低。
清點您的 NAS 裝置
檢查是否有部門或站點執行著管理員不知道的 NAS。關於如何維護清單，見資產清單檢查表。
今天該做什麼
先檢查備份，然後更新 DSM（最優先）
更新之前，確認重要資料的備份存在且可以恢復（備份要點）。然後依次進入控制面板、更新和還原，更新到所屬系列的修復版本或更高版本。更新可能會重啟裝置，因此請通知使用者並選擇合適的時間。
不要把管理介面直接暴露在網際網路上
Synology 的公告沒有臨時解決辦法，因此這是本站補充的一般性防禦措施。如果 DSM 的管理介面透過路由器埠轉發對外發布，請停止；如果需要從外部存取，請透過 VPN。對於無法更新的 NAS，首先要確保它無法從外部存取。
限制來源地址
使用 NAS 的防火牆，把可連線管理介面的來源限制在內部網路或需要存取的裝置。
更新後檢查是否有異常
雖然未見利用報告，但請檢查更新之前是否發生過異常。查看是否有不認識的帳戶或共享資料夾、配置變更和登入記錄。如果有可疑之處，請考慮更改密碼並從備份恢復。
為已停止支援的裝置做好計劃
對於執行舊版 DSM、不會再收到修復的 NAS，請讓它無法從外部存取，並規劃更換。
利用情況
- Synology 的公告沒有提到利用。
- 它未列入 CISA KEV 目錄的 11 月 10 日版本。
- 公告的狀態為“Resolved”，唯一的修訂是初次發布（2026年11月10日）。
- 無法確認關於任何攻擊的規模、手法或行為者的公開資訊。
- 未見利用報告並不意味著不存在利用。對於無需認證的高評級（9.8）漏洞，請優先更新。
資訊來源
- Synology — Synology-SA-26:19 DSM（2026年11月10日發布；兩個 CVE、受影響版本和修復版本、無緩解措施）
- CVE.org — CVE-2026-76954（2026年11月12日記錄；CWE-89，CVSS 9.8）
- CVE.org — CVE-2026-85101（rsync 認證繞過；CWE-288，CVSS 8.6）
- CISA KEV — Known Exploited Vulnerabilities Catalog（未列入該目錄的 11 月 10 日版本）
讓管理介面遠離網際網路並透過 VPN 存取，是本站在此列出的一般性防禦措施，並非 Synology 公告中說明的臨時解決辦法。最後確認：2026年11月13日。
延伸閱讀
- NAS：針對 Synology DSM 的勒索軟體攻擊
- 實務：漏洞響應實務手冊 / 資產清單檢查表
- 準備：備份要點
- 判斷：用 CVSS、EPSS、KEV 確定優先順序
- 術語：什麼是 SQL 注入 / 什麼是 CVSS？