Synology DSM : des correctifs pour quatre branches

Des correctifs contre les accès indésirables aux fichiers

Synology a publié le 10 novembre 2026 deux bulletins concernant DiskStation Manager, ou DSM. Le bulletin critique décrit notamment une vulnérabilité permettant à un attaquant distant de lire ou d’écrire des fichiers et de provoquer un déni de service, c’est-à-dire une interruption du service. Il concerne le composant d’authentification et porte l’identifiant CVE-2026-76954. Bulletin Synology 26:19.

Le même bulletin décrit une autre vulnérabilité dans rsync : elle permet de lire certains fichiers, d’écrire des fichiers et de provoquer un déni de service limité. Les deux vulnérabilités disposent de correctifs. Pour une entreprise concernée, la décision pratique consiste à faire vérifier les installations et à organiser leur mise à jour.

Quatre branches à comparer précisément

Le CERT-FR et Synology désignent les seuils corrigés suivants, ou une version ultérieure dans la branche correspondante :

• DSM 7.2.1 : 7.2.1-69057-13 ;
• DSM 7.2.2 : 7.2.2-72806-10 ;
• DSM 7.3 : 7.3.2-86009-5 ;
• DSM 7.4 : 7.4.1-90080-1.

Les versions antérieures à ces seuils sont concernées. La comparaison doit donc porter sur le numéro complet, et pas seulement sur « DSM 7 ». Avis CERT-FR.

Le second bulletin concerne les branches 7.3 et 7.4, avec les mêmes seuils corrigés. Les conditions d’attaque varient selon la faille : certaines concernent des attaquants distants, d’autres des utilisateurs authentifiés, parfois avec des privilèges administrateur. Il ne faut pas attribuer indistinctement les mêmes conditions à toutes les vulnérabilités. Bulletin Synology 26:18.

Des bulletins publiés le 10 novembre

Les deux bulletins de l’éditeur et l’avis CERT-FR sont datés du 10 novembre 2026. Synology indique les corrections comme disponibles et ne fournit aucune mesure de contournement dans ces bulletins. Ils ne fixent pas de date limite de déploiement : il revient à l’entreprise d’organiser l’intervention selon les équipements concernés.

Organiser la vérification et la mise à jour

• Demandez au responsable informatique de relever la branche et le numéro complet de chaque installation DSM.
• Comparez ces numéros aux seuils corrigés ci-dessus, en conservant le suffixe final.
• Pour chaque installation concernée, faites préparer la mise à jour vers la version corrigée appropriée ou une version ultérieure compatible.
• Après intervention, demandez confirmation du numéro installé et vérifiez les usages de l’entreprise.

Pour le suivi des composants couverts, VCSTS entretient les protections du périmètre confié, notamment par les mises à jour.