Synology NAS’larda kritik DSM açığı yamalandı

Synology, DiskStation Manager (DSM) için 10 Kasım’da iki ayrı güvenlik bülteni yayınladı ve toplam 27 açığı kapattı. SA-26:19 kritik, SA-26:18 önemli olarak işaretlendi. Synology’nin kendi notunda hafifletme yöntemi yok; tek çözüm DSM’i güncellemek.

Auth API’deki 9.8 puanlık SQL açığı

Bültenin en ağır kaydı CVE-2026-76954. DSM’in Auth API’sinde SQL komutlarına ait özel karakterlerin düzgün temizlenmemesi, uzaktan ve hiç kimlik doğrulaması olmadan sömürülebilen bir açık doğuruyor. CVSS 3.1 puanı 9.8, vektörü AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Yani saldırgan ağ üzerinden tek bir istekle sunucuda rastgele dosya okuyabiliyor, yazabiliyor ve hizmet dışı bırakma saldırısı yapabiliyor.

Aynı bültendeki CVE-2026-85101 ise rsync bileşeninde kimlik doğrulamayı atlatmaya dayanıyor (8.6). Bu açık üzerinden de belirli dosyalar okunabiliyor, rastgele dosya yazılabiliyor ve sınırlı bir hizmet kesintisi yaratılabiliyor. Synology iki açığı da Viettel Cyber Security araştırmacıları Nguyễn Bá Nam Dũng ile Hà Thế Long’a ve Warisse Valentin’e (Aytio) teşekkür ederek duyurdu.

8.8’lik üç açık ve yetki yükseltme zinciri

SA-26:18 bülteni 25 kaydı kapsıyor. Öne çıkanlar şunlar:

CVE-2026-13672 (8.8) — SSOAuth bileşeninde kullanıcı kontrollü anahtar üzerinden yetkilendirme atlatma. Oturum açmış bir kullanıcı, başka hesapların verisine erişebilecek hale geliyor.

CVE-2026-18792 (8.8) — Sharing API’de dizin sınırlandırması eksik; oturum açmış kullanıcı kök dizin dışına çıkıp dosya okuyabiliyor ve yazabiliyor.

CVE-2026-74857 (8.8) — Auth API’de kimlik doğrulama adımının atlanması, aynı sonucu doğuruyor.

Bunların yanında OTP bileşenindeki kimlik doğrulama atlatma (CVE-2026-18596, 8.1), küçük resim üretiminde sembolik bağlantı takibi (CVE-2026-19048, 8.1) ve User API’de SQL enjeksiyonu (CVE-2026-81584, 8.1) var. Sonuncusu, ele geçirilmiş bir LDAP veya Active Directory sunucusunun kontrolünü elinde tutan bir saldırganı gerektiriyor.

Orta seviyede kalan kayıtlarda nfsd’de başlatılmamış işaretçi erişimi (CVE-2026-18633, 7.5, hizmet dışı bırakma), VPN API’de işletim sistemi komut enjeksiyonu (CVE-2026-75785, 7.2, yönetici yetkisi gerekiyor) ve Webdav API’de kimlik doğrulama eksikliği (CVE-2026-15198, 6.5) dikkat çekiyor. Webdav açığı, kimlik doğrulaması istemediği için internete açık DSM kurulumlarında en riskli ikinci kalem sayılabilir.

Hangi sürümler etkilendi

Synology dört DSM dalı için düzeltilmiş sürümleri yayınladı:

• DSM 7.2.1 → 7.2.1-69057-13 veya üzeri
• DSM 7.2.2 → 7.2.2-72806-10 veya üzeri
• DSM 7.3 → 7.3.2-86009-5 veya üzeri
• DSM 7.4 → 7.4.1-90080-1 veya üzeri

Güncelleme için DSM arayüzünde Denetim Masası → Güncelleme ve Geri Yükleme → DSM Güncellemesi yolunu izleyin. Cihaz otomatik güncelleme kanalındaysa yeni sürüm kısa süre içinde görünür; görünmüyorsa güncellemeyi elle tetikleyin ve kurulum sonrası DSM’i yeniden başlatın.

Güncelleme sonrası yapılması gerekenler

Bu açıkların bir kısmı kimlik doğrulama istemiyor. Bu yüzden DSM’in yönetim arayüzünü (5000/5001) ve WebDAV, rsync gibi servisleri internete doğrudan açık bırakmayın; uzaktan erişim için VPN veya QuickConnect kullanın. Yönetici hesabında iki adımlı doğrulamayı açın, varsayılan “admin” hesabını devre dışı bırakın ve oturum açma denemelerini günlüklerden takip edin.

Synology bu bültenlerde aktif olarak sömürüldüğüne dair bir bilgi paylaşmadı, ancak Auth API’deki açığın giriş gerektirmemesi ve yamalı sürümlerin yayınlanmış olması, güncellemeyi erteleyen cihazların kısa sürede hedef olması için yeterli. Ev veya küçük ofis NAS’ları genellikle haftalarca güncellenmeden çalışıyor; bu kez güncellemeyi ertelememek gerekiyor.

Kaynak: Synology PSIRT · NVD