Synology DSMのAuth APIに重大な脆弱性、修正版あり
Synology DSMのAuth APIにSQLインジェクションの脆弱性があり、認証なしのリモートからファイルの読み書きや停止を招かれるおそれがあります。NASを運用する組織は、DSMの版を確認し、系列ごとの修正版へ更新してください。
急ぎ度: 至急
CVSS v3は9.8で、ネットワーク越しに認証なしで悪用でき、回避策がない一方、全系列で修正版が出ているため、公表直後の今のうちに更新すべきです。
関係があるか
DSMを搭載したSynology製NASを、ファイル共有やバックアップ保管に使っている組織が対象です。7.2.1、7.2.2、7.3、7.4の各系列が影響を受け、社内専用の運用でも対象になります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| DiskStation Manager (DSM) 7.4 | 7.4.1-90080-1より前 | 7.4.1-90080-1以上 |
| DiskStation Manager (DSM) 7.3 | 7.3.2-86009-5より前 | 7.3.2-86009-5以上 |
| DiskStation Manager (DSM) 7.2.2 | 7.2.2-72806-10より前 | 7.2.2-72806-10以上 |
| DiskStation Manager (DSM) 7.2.1 | 7.2.1-69057-13より前 | 7.2.1-69057-13以上 |
確かめ方
- 1DSMの管理画面で「コントロールパネル」の「情報センター」を開き、DSMの版とビルド番号を確認します。
- 2表示された版を、上の表の系列ごとの修正版と比べます。修正版より小さければ対象です。
- 3SSHを有効にしている場合は、
cat /etc.defaults/VERSIONでも版とビルド番号を確認できます。 - 4管理しているNASが複数台あるときは、1台ずつ版を控えておくと、更新の漏れを防げます。
何が起きたか
Synology DiskStation Manager（DSM）のAuth APIに、SQLインジェクションの脆弱性があります。悪用されると、リモートの攻撃者にNAS上の任意のファイルを読み書きされ、サービス停止にも追い込まれるおそれがあります。
Synologyは2026年11月10日に、セキュリティアドバイザリSynology-SA-26:19で修正版を公開しました。深刻度はCriticalで、CVSS v3は9.8です。分類はCWE-89で、SQL文に使う特殊な文字の無害化が不十分なことが原因です。
同じアドバイザリで、rsyncの認証回避の脆弱性CVE-2026-85101（CVSS v3は8.6、CWE-288）も修正されています。リモートの攻撃者に特定のファイルを読まれたり、任意のファイルを書き込まれたりするおそれがあります。修正版は今回と共通なので、更新すれば2件とも解消します。
攻撃の流れ
-
1
NASへ到達
攻撃者がネットワーク経由でDSMのAuth APIに接続できる位置にいます。
-
2
認証APIへ要求
ログインなしのまま、細工した要求をAuth APIに送ります。
-
3
SQL文が変質
入力の無害化が不十分なため、データベースへの命令が意図しない形で実行されます。
-
4
被害の発生
任意のファイルの読み書きやサービス停止につながります。
どう悪用されるか
CVSSのベクターでは、ネットワーク経由（AV:N）で、攻撃の難易度は低く（AC:L）、事前の認証（PR:N）も利用者の操作（UI:N）も要りません。アドバイザリも「リモートの攻撃者」による悪用と説明しています。NASに通信が届く位置にいれば、ログインできない相手でも対象になります。
悪用されたときの被害は、機密性・完全性・可用性のすべてで高い（C:H/I:H/A:H）とされています。NAS上のファイルを読まれ、書き換えられ、サービスを止められるおそれがあります。
今すぐやること
-
1
DSMの版を確認する
管理しているNASをすべて洗い出し、系列ごとの修正版より小さくないかを確認します。
cat /etc.defaults/VERSION -
2
修正版へ更新する
使っている系列に合わせて、7.4.1-90080-1、7.3.2-86009-5、7.2.2-72806-10、7.2.1-69057-13のいずれか以上に更新します。同時に公表されたrsyncの脆弱性もこの更新で修正されます。更新の前に、重要データのバックアップを別の場所に取っておいてください。
-
3
外部への公開状況を見直す
DSMの管理画面やrsyncが、インターネットや信頼できないネットワークから届く状態になっていないかを、ルーターやファイアウォールの設定で確認します。更新が済んだあとも、不要な公開は閉じておくと被害の入口を減らせます。
-
4
更新前の異常を点検する
公表から日が浅いので、更新前に侵害された可能性は低いと考えられます。それでも、身に覚えのないファイルの変更や、認証まわりの不審なログがないかは確認してください。
-
5
7.2.1より古い版は告知を確認する
7.2.1より古い版については、今回のアドバイザリが版ごとの対応を示していません。Synologyの告知で対応状況を確かめ、必要なら修正版が出ている系列への移行を計画してください。
すぐ更新できないとき
Synologyは、回避策はないとしています。更新までのつなぎとして、NASへの通信をファイアウォールやVPNで管理用の端末や拠点だけに絞り、信頼できないネットワークから届かないようにしてください。これは被害の可能性を下げるだけで、脆弱性そのものは残ります。
背景
DSMはSynology製NASのOSで、ファイル共有、バックアップの保管先、ユーザー認証までを一台で受け持ちます。中小企業や拠点では、サーバー室を持たない代わりにNASが業務データの置き場になっていることが多く、DSMの脆弱性は、その置き場の中身に直結します。
今回の脆弱性がある場所は、ログインを処理するAuth APIです。認証より前の段階にある処理なので、ログインできない相手も入力を送れる場所にあたります。SQLインジェクションは、入力を命令文の一部として扱ってしまう古くからある型の脆弱性です。この種類は、データベースの読み出しだけでなく、ファイルの読み書きまで広がることがあります。今回のアドバイザリでも、被害にファイルの読み書きが挙がっています。
よくある質問
Q.NASを社内ネットワークだけで使っていても、急ぐ必要はありますか。
まだ分かっていないこと
- 実際の攻撃での悪用が確認されているかどうかは、Synologyのアドバイザリに記載がありません。
- 7.2.1より古い版が影響を受けるかどうかは、今回のアドバイザリでは示されていません。
- 悪用に使われる具体的な入力や、発見者による技術的な詳細は公表されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| SynologyDiskStation Manager (DSM) |
7.4.1 以上 7.4.1-90080-1 未満→ 7.4.1-90080-1 7.3.2 以上 7.3.2-86009-5 未満→ 7.3.2-86009-5 7.2.2 以上 7.2.2-72806-10 未満→ 7.2.2-72806-10 7.2.1 以上 7.2.1-69057-13 未満→ 7.2.1-69057-13 |
7.4.1-90080-1 7.3.2-86009-5 7.2.2-72806-10 7.2.1-69057-13 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
An improper neutralization of special elements used in an SQL command vulnerability in the Auth API in Synology DiskStation Manager (DSM) before 7.2.1-69057-13, 7.2.2-72806-10, 7.3.2-86009-5, and 7.4.1-90080-1 allows remote attackers to read or write arbitrary files and conduct denial-of-service attacks.
出典: Security Online NVD GitHub Advisory