Synology DSM opravuje kritickou SQL injection v Auth API a obejití přihlášení v rsync

Co se stalo

Synology 10. listopadu 2026 zveřejnilo bezpečnostní bulletin Synology-SA-26:19 k systému DSM (DiskStation Manager), který běží na jeho síťových úložištích NAS. Bulletin hodnotí jako kritický a podle Synology aktualizace opravuje víc chyb, z nichž dvě uvádí podrobně:

• CVE-2026-76954 – SQL injection v Auth API, CVSS 3.1 9,8 (kritická),
• CVE-2026-85101 – obejití přihlášení ve službě rsync, CVSS 3.1 8,6 (důležitá).

Záznamy obou chyb přibyly v NVD 12. 11. 2026, zatím ve stavu „Received“ se skóre od Synology. Chyby nahlásili Nguyễn Bá Nam Dũng a Hà Thế Long z Viettel Cyber Security Research Lab a Warisse Valentin (Aytio). Synology o zneužívání nepíše a v katalogu CISA KEV chyby nejsou.

Technické podrobnosti

CVE-2026-76954 je chyba typu SQL injection (CWE-89) v Auth API – rozhraní, přes které DSM řeší přihlašování. Rozhraní nesprávně ošetřuje speciální znaky, takže útočník může do databázového dotazu podstrčit vlastní příkaz. Podle Synology tak vzdálený útočník může číst nebo zapisovat libovolné soubory a způsobit odepření služby. Vektor CVSS (AV:N/AC:L/PR:N/UI:N) říká, že stačí síťový přístup k rozhraní, útok je jednoduchý a nevyžaduje přihlášení ani akci uživatele.

CVE-2026-85101 je obejití přihlášení jinou cestou nebo kanálem (CWE-288) v komponentě rsync, kterou DSM používá pro synchronizaci a zálohy. Útočník bez přihlášení může číst určité soubory, zapisovat libovolné soubory a omezeně narušit provoz (vektor C:L/I:H/A:L).

Zápis libovolných souborů na NAS je z pohledu obránce vážný – může vést k podvržení konfigurace, uložení škodlivého kódu nebo zničení dat. Synology další technické podrobnosti ani ukázkový kód nezveřejnilo.

Koho se to týká

Obě chyby se týkají těchto větví DSM ve verzích před uvedenou opravou:

Verzi zjistíte v DSM v Ovládacím panelu → Informační centrum (nebo Aktualizace a obnovení). Starší větve (DSM 7.1, 7.0, 6.2) bulletin neuvádí a Synology pro ně opravu nevydalo.

Nejvíc ohrožená jsou zařízení, jejichž webové rozhraní DSM je dostupné z internetu (přesměrovaný port 5000/5001 nebo vlastní doména), a zařízení se zapnutou službou rsync dostupnou zvenčí. To je naše odvození z popisu chyb, Synology rizikové konfigurace neupřesňuje.

Jak poznat napadení

Synology indikátory napadení nezveřejnilo. Pár tipů z naší praxe:

• V Centru protokolů (Log Center) hledejte neobvyklé přihlašovací pokusy a chyby přihlášení z cizích IP adres, hlavně kolem 10.–12. 11. 2026 a později.
• Zkontrolujte, zda nepřibyli neznámí uživatelé, naplánované úlohy (Ovládací panel → Plánovač úloh), balíčky nebo spouštěcí skripty.
• Sledujte náhle změněné nebo přejmenované soubory ve sdílených složkách – typický první příznak ransomwaru.
• IP adresy a domény z exportovaných logů rychle vytáhnete naším extraktorem IOC – běží jen ve vašem prohlížeči.

Co udělat

1. Aktualizujte DSM v Ovládacím panelu → Aktualizace a obnovení na verzi z tabulky výše nebo novější. Po restartu ověřte číslo verze.
2. Zapněte automatické instalace důležitých aktualizací ve stejném místě, ať příští opravu nepropásnete.
3. Nevystavujte správu NAS do internetu. Pro vzdálený přístup používejte VPN. Pokud musí být DSM dostupné zvenčí, omezte přístup firewallem DSM na známé adresy.
4. Službu rsync vypněte, pokud ji nepotřebujete (Ovládací panel → Souborové služby → rsync). Pokud slouží jako cíl záloh, povolte ji jen z adres zdrojových zařízení.
5. Mějte zálohu mimo NAS – offline nebo neměnnou. Aktualizace neobnoví data, která už útočník zničil nebo zašifroval. Víc v našem článku o útocích ransomwaru na Synology NAS.
6. Při podezření na napadení zařízení odpojte od sítě, uchovejte logy a incident nahlaste NÚKIB (na Slovensku SK-CERT) a Policii ČR, případně Policii SR.

Časová osa

Aktualizace

• 12. 11. 2026 – první verze článku.