Synology ha detallado dos vulnerabilidades en DSM que pueden permitir el acceso o la escritura de archivos y provocar interrupciones del servicio. El aviso afecta a cuatro ramas del sistema: 7.4, 7.3, 7.2.2 y 7.2.1. La acción indicada por el fabricante es comprobar la compilación instalada y actualizar si es anterior a la corregida para esa rama.
El aviso Synology-SA-26:19, publicado el 10 de noviembre de 2026, está clasificado como crítico y figura como resuelto. Synology no afirma que estos dos fallos se estén explotando activamente.
Qué versión de DSM corrige los fallos
No basta con comprobar que el equipo utiliza DSM 7.4 o 7.3: el número completo de compilación determina si necesita actualizarse. Synology identifica estos umbrales para cada rama:
| Rama de DSM | Versiones afectadas | Compilación corregida mínima |
|---|---|---|
| DSM 7.4 | Anteriores a 7.4.1-90080-1 | 7.4.1-90080-1 |
| DSM 7.3 | Anteriores a 7.3.2-86009-5 | 7.3.2-86009-5 |
| DSM 7.2.2 | Anteriores a 7.2.2-72806-10 | 7.2.2-72806-10 |
| DSM 7.2.1 | Anteriores a 7.2.1-69057-13 | 7.2.1-69057-13 |
Las compilaciones indicadas o posteriores corrigen ambos problemas en su rama. Varias de ellas ya estaban disponibles desde octubre, por lo que la publicación del aviso no implica que todos estos parches sean nuevos. Quien ya tenga instalada una versión corregida no necesita actualizar de nuevo por este aviso.
Qué permiten las dos vulnerabilidades
La más grave, CVE-2026-76954, es una inyección SQL en la API de autenticación de DSM: un fallo que permite introducir instrucciones en las consultas a la base de datos. Synology le asigna una puntuación CVSS 3.1 de 9,8 sobre 10. Un atacante remoto sin privilegios podría leer o escribir archivos arbitrarios y provocar una denegación de servicio.
La segunda, CVE-2026-85101, permite eludir la autenticación mediante una ruta o canal alternativo en rsync. Está calificada como importante, con una puntuación de 8,6 sobre 10, y permite leer archivos específicos, escribir archivos arbitrarios y causar una denegación de servicio limitada.
