NAS Synology : une faille critique sans authentification, et l’OTP contournable, mettez DSM à jour

Il y a dix jours, je vous parlais du rançongiciel C3RB3R qui chiffre les NAS Synology restés sur une vieille version de DSM. Synology remet le couvert : deux avis publiés le 10 novembre 2026 corrigent 27 failles d’un coup, dont une critique exploitable sans aucune authentification. Bonne nouvelle, aucune exploitation n’est signalée à ce jour. Autant en profiter pour mettre à jour avant que ce ne soit plus le cas 🙂.

Ce qui a été corrigé

• Avis Synology-SA-26:19 (critique) : la CVE-2026-76954, une injection SQL dans l’API d’authentification de DSM notée 9,8, permet à un attaquant distant de lire et d’écrire des fichiers arbitraires. La CVE-2026-85101, un contournement de connexion dans rsync notée 8,6, permet elle aussi d’écrire des fichiers.
• Avis Synology-SA-26:18 (important) : 25 autres failles. J’en retiens trois : la CVE-2026-18596, qui permet de passer outre le code à usage unique (OTP) avec des identifiants valides ; la CVE-2026-81584, exploitable par un attaquant qui contrôle un serveur LDAP ou Active Directory compromis ; la CVE-2026-18633, un déni de service sans authentification dans le service NFS.
• Le CERT-FR a relayé l’ensemble le jour même (CERTFR-2026-AVI-1493).

Branche DSM	Version corrigée minimale
DSM 7.4	7.4.1-90080-1
DSM 7.3	7.3.2-86009-5
DSM 7.2.2	7.2.2-72806-10
DSM 7.2.1	7.2.1-69057-13

Synology ne propose aucun contournement : la mise à jour est la seule parade. Attention au numéro complet, le suffixe compte : une 7.3.2-86009-4 n’est pas corrigée.

Pourquoi ça nous concerne côté sûreté

Le NAS Synology est partout dans nos métiers : enregistrement vidéo avec Surveillance Station sur les petits et moyens sites, stockage des exports de supervision GTB, sauvegarde des configurations de commutateurs, de centrales ou de logiciels de contrôle d’accès. Un attaquant qui lit et écrit des fichiers arbitraires sur ce NAS peut effacer des enregistrements, déposer un outil malveillant ou récupérer les sauvegardes de toute l’installation. Et comme le NAS vidéo est souvent relié à la fois au réseau des caméras et au réseau bureautique, il devient un joli pont entre les deux.

La faille OTP me fait tiquer : comme chez SonicWall la semaine dernière, la double authentification n’est efficace que si aucun chemin ne permet de l’éviter. Avec un mot de passe volé, on retombe sur une simple authentification par mot de passe.

Mon plan d’action

• Relevez la version exacte de chaque NAS (Panneau de configuration, Mise à jour et restauration) et comparez-la au tableau.
• Planifiez la mise à jour comme une intervention : elle redémarre le NAS, donc l’enregistrement vidéo s’interrompt quelques minutes. Prévenez l’exploitant et, le cas échéant, le télésurveilleur, et vérifiez après coup que toutes les caméras enregistrent à nouveau.
• Coupez ce qui ne sert pas : rsync (port 873), NFS, WebDAV. Moins de services, moins de portes.
• Pas d’interface DSM exposée sur Internet, ni par redirection de port ni par un accès relais laissé actif « au cas où ». L’accès distant passe par le VPN du site.
• Vérifiez vos sauvegardes hors du NAS : une copie déconnectée ou immuable reste la meilleure assurance contre un chiffrement.
• Pour les plus vieux modèles : l’avis ne mentionne pas les branches antérieures à DSM 7.2.1. À vérifier auprès de Synology, mais un NAS qui ne reçoit plus de correctifs n’a plus sa place sur un réseau de sûreté.

Mon avis

Je reste un défenseur du NAS Synology pour les petites installations vidéo : simple, bien documenté, avec un suivi de sécurité sérieux et des avis clairs, versions à l’appui. Mais trois vagues de correctifs critiques en deux mois rappellent qu’un NAS n’est pas un appareil qu’on installe et qu’on oublie. Il faut un responsable des mises à jour, une fenêtre de maintenance et un contrat de maintenance qui le prévoit noir sur blanc. Sinon, c’est le prochain C3RB3R qui s’en chargera à votre place.

Sources

• Synology – Synology-SA-26:19 DSM (10/11/2026)
• Synology – Synology-SA-26:18 DSM (10/11/2026)
• CERT-FR – CERTFR-2026-AVI-1493 : Multiples vulnérabilités dans Synology DSM (10/11/2026)
• SecurityOnline – Synology Patches 27 Flaws in DiskStation Manager (10/11/2026)
• PCFFM – Synology schließt kritische DSM-Lücken (10/11/2026)
• Serveur-Alex – Rançongiciel C3RB3R : les NAS Synology pas à jour sont visés (31/10/2026)