Kurzantwort: Die am 18. September 2026 bekannt gegebenen kritischen Sicherheitslücken in Synology DSM betreffen ungepatchte Builds der DSM-Zweige 7.2.1 bis 7.4. Ermitteln Sie die vollständige Build-Nummer, prüfen Sie ein nutzbares Backup außerhalb des zu aktualisierenden NAS und installieren Sie die korrigierte Version. Ein eingeschränkter Internetzugriff senkt das Risiko, ersetzt das Update jedoch nicht.
Zwei Lücken ermöglichen Angriffe ohne Anmeldung
Synology veröffentlichte am 18. September 2026 ein Sicherheitsbulletin zu acht Schwachstellen in DSM. Zwei davon, CVE-2026-13684 und CVE-2026-13639, haben einen CVSS-Basiswert von 9,8.
Laut dem Sicherheitsbulletin von Synology lassen sich beide Schwachstellen über das Netzwerk ausnutzen – ohne Anmeldung und ohne Mitwirkung des Benutzers. Der Angriff weist eine geringe technische Komplexität auf und kann die Vertraulichkeit, Integrität und Verfügbarkeit des Systems beeinträchtigen.
Synology nennt bei diesen Schwachstellen die Möglichkeit, beliebige Dateien zu lesen oder zu schreiben sowie einen Denial-of-Service-Zustand herbeizuführen:
- CVE-2026-13684 hängt mit einer fehlerhaften Ausgabebehandlung in der SCGI-Schnittstelle zusammen,
- CVE-2026-13639 betrifft eine unzureichende Entropie in der Anmeldelogik.
Der französische CERT-FR nennt in seiner Warnmeldung vom 21. September 2026 für die gesamte Gruppe von acht Schwachstellen außerdem Remote Code Execution, SQL-Injection und XSS. Diese Auswirkungen lassen sich jedoch nicht ohne Weiteres gerade den beiden mit CVSS 9,8 bewerteten Schwachstellen zuordnen.
Aus den zitierten Bulletins geht nicht hervor, ob diese Schwachstellen bereits aktiv ausgenutzt wurden. Das Fehlen einer solchen Information ist jedoch kein Grund, das Update aufzuschieben: Der Hersteller stuft das Problem als kritisch ein und nennt keine alternative Schutzmaßnahme.
Welche DSM-Builds sind betroffen?
Die Bezeichnung „DSM 7“ oder „DSM 7.2“ reicht nicht aus. Entscheidend sind der Systemzweig und die vollständige Nummer des installierten Builds.
| DSM-Zweig | Betroffene Installationen | Niedrigster korrigierter Build |
|---|---|---|
| DSM 7.2.1 | vor 7.2.1-69057-12 | 7.2.1-69057-12 |
| DSM 7.2.2 | vor 7.2.2-72806-9 | 7.2.2-72806-9 |
| DSM 7.3 | vor 7.3.2-86009-4 | 7.3.2-86009-4 |
| DSM 7.4.x | vor 7.4-90075 | 7.4-90075 |
Die Tabelle basiert auf den korrigierten Versionen, die im Synology-Bulletin vom 18. September 2026 aufgeführt sind. Der Hersteller empfiehlt für jeden Zweig ein Upgrade auf den angegebenen Build „oder höher“.
Die installierte Version finden Sie nach der Anmeldung bei DSM in der Regel unter Systemsteuerung → Aktualisieren und Wiederherstellen. Die Bezeichnung des Menüs kann je nach Sprache und Version der Benutzeroberfläche abweichen. Notieren Sie sich vor dem Update die vollständige Versionsbezeichnung und prüfen Sie diese nach dem Neustart erneut.
Die Meldung „Das System ist auf dem neuesten Stand“ ist für sich genommen kein ausreichender Nachweis. Vergleichen Sie den angezeigten Build mit der Tabelle. Wenn DSM das Update nicht automatisch anbietet, bedeutet das nicht, dass eine ältere Installation sicher ist.
Was CVSS 9,8 tatsächlich aussagt
CVSS beschreibt den technischen Schweregrad einer Schwachstelle, nicht die Wahrscheinlichkeit, mit der gerade Ihr NAS angegriffen wird. Die hohe Bewertung beider Schwachstellen ergibt sich aus einer Kombination ungünstiger Eigenschaften:
- der Angriff kann über das Netzwerk erfolgen,
- es ist kein angemeldetes Benutzerkonto erforderlich,
- weder ein Klick noch eine andere Mitwirkung des Benutzers ist nötig,
- die technische Komplexität des Angriffs ist gering,
- die Auswirkungen auf Daten und Systemverfügbarkeit sind schwerwiegend.
Bei einem Unternehmens-NAS geht es daher nicht nur um das Risiko einer vorübergehend nicht erreichbaren Administrationsoberfläche. Die Möglichkeit, beliebige Dateien zu lesen oder zu verändern, kann freigegebene Ordner, betriebliche Dokumente und auf dem Gerät gespeicherte Backups betreffen.
Der CVSS-Wert allein sagt jedoch nicht aus, ob das NAS aus dem öffentlichen Internet erreichbar, von den Arbeitsstationen getrennt oder nur über das interne Netzwerk zugänglich ist. Diese Umstände beeinflussen die tatsächliche Angriffsfläche, nicht aber die Frage, ob der installierte Build verwundbar ist.
Prüfen Sie vor dem Update Speicher und Backup
Schieben Sie das kritische Update nicht auf, installieren Sie es aber auch nicht ohne eine grundlegende Prüfung des Geräts. Ein sicheres Vorgehen umfasst vier Schritte.
1. Notieren Sie Modell, DSM-Zweig und vollständigen Build
Verlassen Sie sich nicht auf eine alte Inventarliste. Lesen Sie die Angaben direkt von jedem NAS aus, das Ihr Unternehmen betreibt. Prüfen Sie Produktions- und Backup-Geräte getrennt; ein aktualisiertes Backup-NAS belegt nicht den Zustand des Produktionssystems.
2. Prüfen Sie den Zustand des Speicherpools und der Volumes
Prüfen Sie vor dem Neustart, ob DSM einen herabgestuften Speicherpool, ein ausgefallenes Volume oder einen laufenden Rebuild meldet. Wenn der Speicher nicht fehlerfrei arbeitet, sollten Sie nicht automatisch auf Reparieren oder Aktualisieren klicken, ohne zuvor den Zustand zu bewerten. Das weitere Vorgehen beschreiben wir im Artikel Synology meldet ein Problem mit dem Volume: Wann Sie eingreifen sollten.
3. Prüfen Sie ein getrenntes Backup
RAID schützt in erster Linie den laufenden Betrieb bei einem Festplattenausfall. Es ersetzt kein Backup. Auch ein Snapshot, der ausschließlich auf dem zu aktualisierenden NAS gespeichert ist, stellt keine getrennte Kopie dar.
Es reicht nicht, dass der letzte Backup-Auftrag grün angezeigt wird. Stellen Sie testweise einige ausgewählte Dateien aus einem getrennten Backup wieder her und prüfen Sie, ob sie den erwarteten Inhalt enthalten. Eine praktische Anleitung finden Sie unter Wiederherstellungstest für Backups: Durchführung und Dokumentation.
4. Planen Sie ein Wartungsfenster
Das Update kann einen Neustart erfordern. Rechnen Sie mit einer vorübergehenden Unterbrechung von freigegebenen Ordnern, Backup-Aufträgen, Synchronisierungen und Anwendungen, die auf dem NAS betrieben werden. Informieren Sie die Benutzer vorab über den Ausfall und ermitteln Sie, welche Prozesse unmittelbar nach dem Start überprüft werden müssen.
So schließen Sie das Update ab
Installieren Sie mindestens den niedrigsten korrigierten Build, der für den verwendeten DSM-Zweig angegeben ist. Bei einer manuellen Installation muss das Update-Paket genau zum NAS-Modell passen; befolgen Sie die Anweisungen von Synology.
Beenden Sie die Kontrolle nach dem Neustart nicht bereits am Anmeldebildschirm. Prüfen Sie:
- die vollständige DSM-Build-Nummer anhand der Tabelle,
- den Zustand des Speicherpools und aller Volumes,
- die Erreichbarkeit der verwendeten freigegebenen Ordner,
- die Zugriffsberechtigungen regulärer Benutzer,
- den Status der Backup- und Synchronisierungsaufträge,
- die Funktionsfähigkeit der tatsächlich auf dem NAS betriebenen Anwendungen.
Dokumentieren Sie das Ergebnis in Ihrer IT-Dokumentation: Gerätekennung, ursprünglichen und neuen Build, Zeitpunkt des Eingriffs, Backup-Status und durchgeführte Prüfungen. Betreibt das Unternehmen mehrere NAS-Systeme, wiederholen Sie die Prüfung für jedes einzelne Gerät.
Wenn Sie den Zustand nicht aller Geräte kennen, kein geprüftes getrenntes Backup besitzen oder das NAS wichtige Unternehmensdienste bereitstellt, können wir die Prüfung und Aktualisierung im Rahmen der Betreuung Ihrer Unternehmens-IT durchführen. Das Ergebnis sollte ein nachweislich korrigierter Build mit erreichbaren Daten und geprüften Diensten sein – nicht nur ein Klick auf die Schaltfläche Aktualisieren.
Warum es nicht genügt, DSM vor dem Internet zu verbergen
Das Entfernen einer Portweiterleitung, eine Beschränkung durch Firewall-Regeln oder der Zugriff über ein VPN verkleinern die Angriffsfläche. Dies sind sinnvolle ergänzende Maßnahmen, sie beheben jedoch nicht die Schwachstelle in DSM.
Synology nennt im Bulletin keine Schutzmaßnahme, die die Installation des korrigierten Builds ersetzen könnte. Zudem kann ein verwundbares System von einem kompromittierten Computer innerhalb des Unternehmensnetzwerks erreichbar sein, auch wenn seine Administrationsoberfläche nicht öffentlich zugänglich ist.
Beschränken Sie daher den Fernzugriff, betrachten Sie dies aber nicht als abgeschlossene Behebung. Den sicheren Fernzugriff auf Unternehmenssysteme behandeln wir ausführlicher im Artikel Fernzugriff auf das Unternehmen: RDP, VPN und ZTNA.
Häufig gestellte Fragen
Welche Schwachstellen haben einen CVSS-Wert von 9,8?
CVE-2026-13684 und CVE-2026-13639. Laut Synology können sie aus der Ferne, ohne Anmeldung und ohne Benutzerinteraktion ausgenutzt werden.
Ist jede DSM-7.2-Version betroffen?
Nein. Entscheidend sind der vollständige Zweig und der genaue Build. Im Zweig DSM 7.2.2 sind beispielsweise Builds vor 7.2.2-72806-9 betroffen.
Reicht es aus, den Internetzugriff auf DSM zu sperren?
Nein. Die Zugriffsbeschränkung verkleinert die Angriffsfläche, Synology nennt für diese Schwachstellen jedoch keine Schutzmaßnahme, die das Update ersetzt.
Soll ich das Update ohne Backup installieren?
Prüfen Sie zunächst ein nutzbares getrenntes Backup und planen Sie den Eingriff so, dass das verwundbare System nicht unnötig lange in Betrieb bleibt. Wenn der Speicherpool herabgestuft ist oder ein Volume Fehler meldet, bewerten Sie zunächst den Zustand des Speichers.
Was muss nach dem Update geprüft werden?
Der genaue DSM-Build, der Zustand des Speicherpools und der Volumes, die Erreichbarkeit freigegebener Ordner, Berechtigungen, Backup-Aufträge, Synchronisierungen und die auf dem NAS betriebenen Anwendungen.
Wo Sie uns finden
ITHOPE ist eine Firma aus Brno, Tschechien: wir machen Datenrettung von Festplatten, RAID und NAS, PC- und Notebook-Service und IT für Unternehmen, alles im eigenen Labor in der Viniční 3587/216, 615 00 Brno.
Telefon +420 775 556 063 (rund um die Uhr). Das Gerät können Sie persönlich bringen oder per Kurier schicken (Zásilkovna, PPL).