Faille NAS Synology DSM : vérifiez votre version dès aujourd’hui

Le 10 novembre 2026, Synology a publié le bulletin de sécurité SA-26:19, classé « critique ». Il corrige deux vulnérabilités de DSM, le système qui fait fonctionner les NAS DiskStation, exploitables depuis Internet sans identifiant ni mot de passe. Si votre cabinet, votre commerce ou votre association stocke ses fichiers ou ses sauvegardes sur un NAS Synology, cette faille NAS Synology DSM est à traiter aujourd’hui, pas la semaine prochaine.

Le bulletin décrit deux failles distinctes, toutes deux exploitables à distance par une personne qui ne possède aucun compte sur votre NAS.

CVE-2026-76954 (note 9,8 sur 10) : une injection SQL dans l’API d’authentification de DSM, celle qui sert dès la page de connexion. Un attaquant peut lire ou écrire des fichiers arbitraires et mettre le NAS hors service.

CVE-2026-85101 (note 8,6 sur 10) : un contournement d’authentification dans rsync, le service de synchronisation et de sauvegarde entre serveurs. Il permet de lire certains fichiers, d’en écrire d’autres et de perturber le NAS.

Point important : Synology précise qu’il n’existe aucune mesure d’atténuation. Désactiver une option ne suffit pas, il faut installer la mise à jour de DSM.

La version minimale dépend de votre branche de DSM. Comparez-la à celle de votre NAS :

DSM 7.4 : version 7.4.1-90080-1 ou supérieure.

DSM 7.3 : version 7.3.2-86009-5 ou supérieure.

DSM 7.2.2 : version 7.2.2-72806-10 ou supérieure.

DSM 7.2.1 : version 7.2.1-69057-13 ou supérieure.

Pour lire votre version, ouvrez le Panneau de configuration puis « Info ». DSM l’affiche sous la forme « 7.4.1-90080 Update 1 », ce qui correspond à 7.4.1-90080-1. Selon IT-Connect, les versions publiées en septembre ne protègent pas contre ces deux failles : un NAS « à jour il y a deux mois » n’est donc pas forcément corrigé.

1. La version. Relevez le numéro exact dans « Info » et comparez-le au tableau ci-dessus. Si DSM ne propose aucune mise à jour alors que votre version est inférieure, le déploiement est peut-être progressif : téléchargez le fichier correspondant à votre modèle sur le site de Synology et lancez la mise à jour manuelle.

2. Le service rsync. Il est désactivé par défaut. Contrôlez-le dans Panneau de configuration, Services de fichiers, onglet rsync, et coupez-le s’il ne sert pas.

3. L’exposition à Internet. Vérifiez sur la box ou le routeur qu’aucune redirection de port ne mène vers le NAS, et que l’interface DSM n’est pas joignable de l’extérieur.

4. Le pare-feu de DSM. Une règle qui autorise « tout le pays » ouvre la page de connexion à des milliers d’adresses : ce n’est pas une protection contre une faille sans authentification.

5. Les journaux. Dans le Centre de journaux, repérez les échecs de connexion en rafale ou les connexions à des heures inhabituelles.

QuickConnect est pratique pour synchroniser Synology Drive depuis plusieurs postes, mais il relaie l’accès à votre NAS via les serveurs de Synology. Dans les paramètres avancés de QuickConnect, ne gardez cochés que les services réellement utilisés, par exemple Synology Drive Server, et décochez DSM : la page de connexion n’a alors plus besoin d’être accessible par ce chemin.

Pour l’administration à distance, un VPN reste la solution la plus sûre : le NAS n’est visible que par les appareils autorisés, et non par tout Internet.

Un NAS sert souvent de sauvegarde à toute l’entreprise : s’il est compromis, la copie qui devait vous sauver disparaît avec les originaux. IT-Connect rappelle qu’une campagne de rançongiciel a visé des NAS Synology après les failles de septembre. Appliquez donc la règle de la sauvegarde 3-2-1-1-0 : une copie hors ligne ou immuable, et un test de restauration régulier.

Cette alerte rappelle aussi ce que nous expliquions pour la faille PHP2Shell : une mise à jour oubliée suffit à ouvrir la porte, et l’attaque commence souvent quelques jours après la publication du correctif.

Nous avons contrôlé le parc de NAS de nos clients : build DSM, service rsync, exposition à Internet, QuickConnect et règles de pare-feu. Chaque point non conforme a été corrigé le jour même.

Vous gérez un NAS Synology sans savoir s’il est à jour ? Découvrez nos services réseau, Wi-Fi et NAS, notre supervision à distance qui surveille les versions en continu, et notre accompagnement en cybersécurité pour les TPE et PME de la Côte d’Opale. Contactez iTS Samer pour une vérification rapide de votre installation.

Mon NAS est-il vulnérable s’il n’est pas accessible depuis Internet ? Le risque est nettement plus faible, mais il subsiste depuis le réseau local, par exemple si un poste est infecté. Installez la mise à jour quand même.

La faille est-elle déjà exploitée ? D’après IT-Connect, aucune exploitation n’était signalée à la date de l’article. Le correctif étant public, il faut partir du principe que des attaquants l’étudient déjà.

Faut-il redémarrer le NAS ? Oui, la mise à jour de DSM redémarre l’appareil. Prévenez les utilisateurs et choisissez un moment creux.

Sources : bulletin officiel Synology SA-26:19 et article d’IT-Connect.