Synology DSM'de giriş gerektirmeyen 9.8 puanlı SQL injection açığı kapatıldı

Synology, 10 Kasım’da yayımladığı Synology-SA-26:19 numaralı güvenlik bülteniyle NAS cihazlarında çalışan DiskStation Manager (DSM) işletim sistemindeki iki açığı kapattı. Şirket bültenin önem derecesini kritik olarak belirledi. İki açığın CVE kayıtları 12 Kasım’da yayımlandı.

CVE-2026-76954

Synology’ye göre açık, DSM’nin Auth API’sinde bir SQL injection açığı ve uzaktaki saldırganların keyfi dosyaları okumasına ya da yazmasına ve hizmet engelleme saldırıları yapmasına izin veriyor. Açığın CVSS 3.1 puanı 9.8. Puanlamaya göre saldırı ağ üzerinden yapılabiliyor, saldırının karmaşıklığı düşük, yetki ya da kullanıcı etkileşimi gerekmiyor.

Bültene göre açığı Viettel Cyber Security Research Lab’den Nguyễn Bá Nam Dũng ve Hà Thế Long bildirdi.

CVE-2026-85101

Synology’ye göre ikinci açık, DSM’nin rsync bileşeninde alternatif bir yol ya da kanal üzerinden kimlik doğrulamanın atlatılması (authentication bypass using an alternate path or channel) açığı. Açık, uzaktaki saldırganların belirli dosyaları okumasına, keyfi dosyalar yazmasına ve sınırlı hizmet engelleme saldırıları yapmasına izin veriyor. Synology bu açığı önemli (Important) olarak derecelendirdi, CVSS 3.1 puanı 8.6. Bu açıkta da yetki ya da kullanıcı etkileşimi gerekmiyor.

Bültene göre açığı Aytio’dan Warisse Valentin bildirdi.

Etkilenen ve düzeltilmiş sürümler

Bültene göre iki açık da aşağıdaki sürümlerde kapatıldı:

• DSM 7.4: 7.4.1-90080-1 ya da sonrasına yükseltin.
• DSM 7.3: 7.3.2-86009-5 ya da sonrasına yükseltin.
• DSM 7.2.2: 7.2.2-72806-10 ya da sonrasına yükseltin.
• DSM 7.2.1: 7.2.1-69057-13 ya da sonrasına yükseltin.

Synology bültende geçici bir önlem (mitigation) bulunmadığını belirtiyor. CVE kayıtlarında 7.2.1’den eski sürümlerin durumu bilinmiyor (unknown) olarak işaretli.

Önerilen önlemler

Synology NAS kullananların DSM sürümünü Denetim Masası’ndaki güncelleme bölümünden kontrol edip kendi dalına uygun düzeltilmiş sürüme geçmesi gerekiyor. Bültende açıkların saldırılarda kullanıldığına dair bir bilgi yer almıyor. Ancak NAS cihazları fidye yazılımı gruplarının sık hedef aldığı cihazlar arasında. Kasım başında eski DSM sürümlü Synology cihazlarını hedef alan fidye yazılımı saldırılarını yazmıştık. Bu yüzden özellikle internete açık cihazlarda güncellemenin geciktirilmemesi yerinde olur.