Le service chargé de vérifier l’identité des utilisateurs présente lui-même une faille sur les serveurs de stockage en réseau (NAS) de Synology. Dans sa fiche du 12 novembre, le CERT Santé décrit une vulnérabilité exploitable par le réseau, sans identifiants et sans intervention de l’utilisateur. Répertoriée sous le numéro CVE-2026-76954, elle reçoit une note de gravité de 9,8 sur 10 selon le barème CVSS 3.1.
La lecture, l’écriture et la disponibilité des fichiers en jeu
La faille touche DiskStation Manager (DSM), le système d’exploitation qui gère le stockage, les comptes et les services de ces équipements. Son interface d’authentification traite incorrectement certains caractères dans une commande adressée à la base de données. Un attaquant qui peut joindre le service vulnérable peut ainsi modifier la commande, lire ou écrire des fichiers de son choix sur l’appareil ou provoquer une interruption de service.
Le bulletin publié par Synology le 10 novembre décrit une autre voie d’accès. Cette seconde faille, CVE-2026-85101, touche rsync, le service de synchronisation de fichiers. Un contournement de l’authentification permet de lire certains fichiers, d’écrire dans des fichiers au choix de l’attaquant ou de perturber le service de façon limitée.
La version corrigée dépend de la branche de DSM
Le CERT-FR précise les numéros des versions corrigées. Pour la branche 7.4, le seuil est 7.4.1-90080-1. Pour la branche 7.3, il est de 7.3.2-86009-5. Les versions ultérieures de chaque branche intègrent également la correction.
Les administrateurs dont les équipements fonctionnent encore sous DSM 7.2 ont deux références à vérifier. Le correctif est disponible à partir de 7.2.2-72806-10 pour la branche 7.2.2 et de 7.2.1-69057-13 pour la branche 7.2.1. Synology ne propose aucune mesure de contournement dans son bulletin.
