Bulletins de Sécurité

Deux vulnérabilités critiques affectant Synology DiskStation Manager (DSM) ont été publiées par l'éditeur le 18 septembre 2026, dans l'advisory Synology-SA-26:13.

Le niveau de criticité de ces deux vulnérabilités est de 9.8 (score CVSSv3.1).

DiskStation Manager est le système d'exploitation des NAS Synology, largement utilisés en entreprise pour le stockage de fichiers, le partage de documents et la sauvegarde.

• CVE-2026-13639 : une vulnérabilité d'entropie insuffisante (CWE-331) dans la logique de connexion de DSM rend prédictibles les données d'authentification générées lors de la connexion. Un attaquant distant non authentifié peut exploiter cette faiblesse pour lire ou écrire des fichiers arbitraires sur le NAS et provoquer un déni de service.

• CVE-2026-13684 : une vulnérabilité d'encodage ou d'échappement incorrect des sorties dans le composant SCGI de DSM permet à un attaquant distant non authentifié de lire ou d'écrire des fichiers arbitraires sur le NAS et de provoquer un déni de service.

Aucune authentification ni interaction utilisateur n'est nécessaire pour exploiter ces deux vulnérabilités. Les NAS Synology sont fréquemment exposés sur internet pour permettre l'accès distant aux fichiers, et ce type d'équipement fait régulièrement l'objet de campagnes de ransomware ciblant spécifiquement les NAS.

Ce risque est particulièrement important lorsque le NAS sert de dépôt de sauvegarde, par exemple comme cible d'une solution telle que Veeam. La capacité d'écrire des fichiers arbitraires permettrait à un attaquant d'altérer ou de supprimer les sauvegardes stockées sur le NAS. Les mécanismes d'immutabilité configurés sur le NAS pourraient également être remis en cause.

À l'heure actuelle, Synology ne fait mention d'aucune exploitation active de ces vulnérabilités, et aucun code d'exploitation public n'a été identifié.

Étant donné le risque associé, nous préconisons de corriger ces vulnérabilités sans plus attendre.