Synology corrige en urgence deux failles de DSM : les versions à installer sur votre NAS

La cybersécurité est devenue un enjeu crucial ces derniers mois. Les failles critiques s’enchainent sur des projets ou des produits très populaires. La dernière en date touche les NAS Synology. Autrement dit, elle touche un objet dont la mission est de stocker les photos de famille, les sauvegardes des PC ou les dossiers d’une PME. On peut en plus souvent y accéder depuis l’extérieur, ce qui en fait une cible de choix pour les pirates. Synology a publié ce mardi 10 novembre un avis de sécurité, référencé Synology-SA-26:19, avec les correctifs de deux failles de DSM.

Deux failles critiques

La faille la plus grave, CVE-2026-76954, se trouve dans l’Auth API, le module de DSM qui gère la connexion des utilisateurs. Il s’agit d’une injection SQL, une technique qui consiste à glisser des commandes dans un champ de saisie pour que la base de données du système les exécute. Synology lui donne 9,8 sur 10 sur l’échelle CVSS, qui sert à noter la gravité des failles, soit le niveau « critique ». Elle ne demande ni identifiant ni action de la victime, et permet de lire ou d’écrire n’importe quel fichier, voire de faire planter le NAS.

La seconde, CVE-2026-85101, touche rsync, le service qui synchronise et sauvegarde des fichiers entre deux machines. Elle contourne l’authentification par un chemin détourné et permet d’écrire n’importe quel fichier, mais seulement d’en lire certains. Synology la classe donc un cran en dessous, en « importante », avec 8,6 sur 10.

Tous les NAS sous DSM 7.2.1 à 7.4 sont concernés

L’avis de Synology vise des versions de DSM et ne cite aucun modèle : 7.4, 7.3, 7.2.2 et 7.2.1. Comme ce système équipe toute la gamme, chaque NAS de la marque qui tourne sur l’une de ces versions sans le dernier correctif est exposé. Surtout, Synology indique qu’aucune mesure de contournement n’existe, donc seule la mise à jour protège le NAS. La marque ne signale pas, à ce stade, d’attaque qui aurait exploité ces failles.

Synology en est à sa deuxième alerte de ce niveau en deux mois. Le 18 septembre, la marque avait déjà corrigé deux failles de DSM notées 9,8, qui permettaient elles aussi de lire ou d’écrire des fichiers à distance. On vous en avait parlé lorsque le rançongiciel C3RB3R a touché des NAS de la marque.

Comment mettre à jour votre NAS Synology

Ouvrez DSM, puis le Panneau de configuration, rubrique Mise à jour et restauration. Vous y voyez la version installée et vous pouvez lancer la mise à jour. Vérifiez que votre NAS atteint au moins la version corrigée de sa branche :

• DSM 7.4 : version 7.4.1-90080-1 ou plus récente
• DSM 7.3 : version 7.3.2-86009-5 ou plus récente
• DSM 7.2.2 : version 7.2.2-72806-10 ou plus récente
• DSM 7.2.1 : version 7.2.1-69057-13 ou plus récente

Synology a publié son avis ce mardi 10 novembre à 10 h 06, heure de Paris, et les versions corrigées sont disponibles depuis. Si vous ne pouvez pas mettre à jour tout de suite, coupez l’accès au NAS depuis Internet en attendant.