Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-76954 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-12 |
| Producent | Synology |
| Produkt | DiskStation Manager (DSM) |
| Typ podatności | SQL injection (CWE-89) |
| CVSS Score | 9.8 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, Synology
Podatność polegająca na niewłaściwej neutralizacji elementów specjalnych w poleceniu SQL (SQL injection) w Auth API systemu Synology DiskStation Manager (DSM) w wersjach przed 7.2.1-69057-13, 7.2.2-72806-10, 7.3.2-86009-5 i 7.4.1-90080-1 pozwala zdalnym atakującym odczytywać lub zapisywać dowolne pliki oraz przeprowadzać ataki odmowy usługi (DoS).
Wektor CVSS z NVD (AV:N/PR:N/UI:N) oznacza atak przez sieć bez uwierzytelnienia i bez interakcji użytkownika. Synology opisuje podatność w biuletynie Synology-SA-26:19 z oceną „Critical” i statusem „Resolved”.
Wymagane działania
- Zaktualizuj DSM do wersji 7.2.1-69057-13, 7.2.2-72806-10, 7.3.2-86009-5 lub 7.4.1-90080-1 (albo nowszej, zależnie od używanej gałęzi) zgodnie z biuletynem Synology-SA-26:19.
- Nie wystawiaj interfejsu DSM do internetu; dostęp administracyjny ogranicz do sieci zarządzania lub VPN.
- Przejrzyj logi DSM pod kątem nieudanych i nietypowych prób logowania oraz nieoczekiwanych zmian w plikach systemowych.
Kogo dotyczy?
Podatność dotyczy Synology DiskStation Manager (DSM) w wersjach starszych niż 7.2.1-69057-13, 7.2.2-72806-10, 7.3.2-86009-5 i 7.4.1-90080-1. DSM to system operacyjny serwerów NAS Synology, powszechnie używanych w polskich firmach do przechowywania plików i kopii zapasowych.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-76954?
CVE-2026-76954 to podatność typu SQL injection (CWE-89) w Auth API systemu Synology DiskStation Manager (DSM), która pozwala zdalnemu atakującemu odczytywać i zapisywać dowolne pliki oraz przeprowadzić atak odmowy usługi. Ocena CVSS: 9.8.
Czy do wykorzystania CVE-2026-76954 potrzebne jest uwierzytelnienie?
Nie. Według wektora CVSS z NVD atak jest możliwy przez sieć, bez uwierzytelnienia i bez interakcji użytkownika.
Jak zabezpieczyć się przed CVE-2026-76954?
Zaktualizować DSM do wersji 7.2.1-69057-13, 7.2.2-72806-10, 7.3.2-86009-5 lub 7.4.1-90080-1 (albo nowszej, zależnie od gałęzi) zgodnie z biuletynem Synology-SA-26:19 i nie wystawiać interfejsu DSM do internetu.
Kogo dotyczy CVE-2026-76954?
Organizacji korzystających z serwerów NAS Synology z DSM w wersjach starszych niż 7.2.1-69057-13, 7.2.2-72806-10, 7.3.2-86009-5 i 7.4.1-90080-1.
