シノロジーのNAS用OS「DSM」に深刻度9.8の脆弱性　認証なしで攻撃可能、回避策もなし

　シノロジーは10日、NAS（ネットワーク接続ストレージ）向けOS「DiskStation Manager（DSM）」の脆弱性2件を修正したと発表した。同社のセキュリティアドバイザリ「Synology-SA-26:19」によると、深刻度は「緊急（Critical）」と評価されている。修正版への更新を求めている。

　1件目の「CVE-2026-76954」は、認証APIに存在するSQLインジェクションの脆弱性だ。共通脆弱性評価システム（CVSS）v3の基本スコアは9.8で、リモートの攻撃者が任意のファイルを読み書きしたり、サービス拒否（DoS）攻撃を行ったりできるおそれがあるという。評価では、攻撃に必要な権限は「不要」、ユーザーの操作も「不要」とされている。

　2件目の「CVE-2026-85101」は、rsyncに存在する認証回避の脆弱性だ。別経路を使うことで認証を回避される問題で、CVSSの基本スコアは8.6、深刻度は「重要（Important）」とされている。リモートの攻撃者が特定のファイルを読み取り、任意のファイルを書き込み、限定的なDoS攻撃を行えるおそれがある。

　影響を受けるのは、DSM 7.4、7.3、7.2.2、7.2.1の4系統だ。修正版は、7.4が「7.4.1-90080-1」以上、7.3が「7.3.2-86009-5」以上、7.2.2が「7.2.2-72806-10」以上、7.2.1が「7.2.1-69057-13」以上となる。

　回避策（Mitigation）の欄は「なし」と記載されており、修正版へのアップデートで対処する必要がある。脆弱性を発見したのは、Viettel Cyber Security Research Lab（ベトテル・サイバーセキュリティ研究所）の研究者2人と、Aytioの研究者だ。アドバイザリは初版（Revision 1）として10日に公開された。