Odpověď hned: Kritická zranitelnost Synology DSM oznámená 18. září 2026 se týká neopravených buildů ve větvích DSM 7.2.1 až 7.4. Zjistěte celé číslo buildu, ověřte použitelnou zálohu mimo aktualizovaný NAS a nainstalujte opravenou verzi. Omezení přístupu z internetu riziko snižuje, ale aktualizaci nenahrazuje.
Dvě chyby umožňují útok bez přihlášení
Společnost Synology zveřejnila 18. září 2026 bezpečnostní bulletin pro osm zranitelností v DSM. Dvě z nich, CVE-2026-13684 a CVE-2026-13639, mají základní skóre CVSS 9,8.
Podle bezpečnostního bulletinu Synology lze obě chyby zneužít po síti, bez přihlášení a bez zásahu uživatele. Útok má nízkou technickou složitost a může zasáhnout důvěrnost, integritu i dostupnost systému.
Synology u těchto chyb uvádí možnost číst nebo zapisovat libovolné soubory a způsobit odepření služby:
- CVE-2026-13684 souvisí s nesprávným ošetřením výstupu v rozhraní SCGI,
- CVE-2026-13639 se týká nedostatečné entropie v přihlašovací logice.
Francouzský CERT-FR ve svém upozornění z 21. září 2026 uvádí u celé sady osmi zranitelností také vzdálené spuštění kódu, SQL injection a XSS. Tyto následky ale nelze bez dalšího přiřadit právě dvěma chybám s hodnocením CVSS 9,8.
Citované bulletiny neuvádějí, zda už byly tyto zranitelnosti aktivně zneužity. Absence takové informace však není důvodem aktualizaci odkládat: výrobce označuje problém jako kritický a neuvádí žádnou náhradní mitigaci.
Které buildy DSM jsou zranitelné
Označení „DSM 7“ ani „DSM 7.2“ nestačí. Rozhoduje větev systému a celé číslo nainstalovaného buildu.
| Větev DSM | Zranitelné instalace | Nejnižší opravený build |
|---|---|---|
| DSM 7.2.1 | před 7.2.1-69057-12 | 7.2.1-69057-12 |
| DSM 7.2.2 | před 7.2.2-72806-9 | 7.2.2-72806-9 |
| DSM 7.3 | před 7.3.2-86009-4 | 7.3.2-86009-4 |
| DSM 7.4.x | před 7.4-90075 | 7.4-90075 |
Tabulka vychází z opravených verzí uvedených v bulletinu Synology z 18. září 2026. Výrobce u každé větve doporučuje přechod na uvedený build „nebo vyšší“.
Nainstalovanou verzi zjistíte po přihlášení do DSM, obvykle v části Ovládací panel → Aktualizace a obnovení. Název nabídky se může podle jazyka a verze rozhraní lišit. Celé označení si poznamenejte před aktualizací a znovu je zkontrolujte po restartu.
Hlášení „systém je aktuální“ samo o sobě není dostatečný důkaz. Zobrazený build porovnejte s tabulkou. Pokud DSM aktualizaci automaticky nenabídne, neznamená to, že je starší instalace bezpečná.
Co CVSS 9,8 skutečně říká
CVSS vyjadřuje technickou závažnost zranitelnosti, nikoli pravděpodobnost, že bude napaden právě váš NAS. Vysoké hodnocení obou chyb vychází z kombinace nepříznivých vlastností:
- útok lze vést po síti,
- nevyžaduje přihlášený účet,
- nevyžaduje kliknutí ani jinou spolupráci uživatele,
- jeho technická složitost je nízká,
- dopad na data i dostupnost systému je vysoký.
U firemního NAS proto nejde jen o riziko dočasně nedostupné administrace. Možnost číst nebo měnit libovolné soubory se může dotknout sdílených složek, provozních dokumentů i záloh uložených na zařízení.
Skóre CVSS ale samo neříká, zda je NAS dostupný z veřejného internetu, oddělený od pracovních stanic nebo přístupný jen z interní sítě. Tyto okolnosti ovlivňují reálnou útočnou plochu, nikoli skutečnost, zda je nainstalovaný build zranitelný.
Před aktualizací ověřte úložiště a zálohu
Kritickou opravu neodkládejte, ale neinstalujte ji bez základní kontroly zařízení. Bezpečný postup má čtyři kroky.
1. Zapište model, větev DSM a celý build
Nespoléhejte na starou inventární tabulku. Údaj načtěte přímo z každého NAS, který firma provozuje. Zvlášť zkontrolujte produkční a záložní zařízení; aktualizovaný záložní NAS nedokládá stav produkčního systému.
2. Zkontrolujte stav storage poolu a svazků
Před restartem ověřte, zda DSM nehlásí degradovaný storage pool, havarovaný svazek nebo probíhající rebuild. Pokud úložiště není zdravé, neklikejte automaticky na opravu ani aktualizaci bez vyhodnocení stavu. Další postup popisujeme v článku Synology hlásí problém se svazkem: kdy zasáhnout.
3. Ověřte oddělenou zálohu
RAID chrání především provoz při selhání disku. Není náhradou zálohy. Stejně tak snapshot uložený pouze na aktualizovaném NAS nepředstavuje oddělenou kopii.
Nestačí, že poslední zálohovací úloha svítí zeleně. Z oddělené zálohy zkuste načíst několik vybraných souborů a ověřte, že mají očekávaný obsah. Praktický postup najdete v návodu Test obnovy zálohy: jak jej provést a zdokumentovat.
4. Připravte servisní okno
Aktualizace může vyžadovat restart. Počítejte s dočasným přerušením sdílených složek, zálohovacích úloh, synchronizace a aplikací provozovaných na NAS. Uživatelům oznamte výpadek předem a zjistěte, které procesy musí být po spuštění bezprostředně ověřeny.
Jak aktualizaci dokončit
Nainstalujte alespoň nejnižší opravený build uvedený pro používanou větev DSM. Při ruční instalaci musí aktualizační balíček odpovídat přesnému modelu NAS; postupujte podle pokynů Synology.
Po restartu nekončete kontrolu u přihlašovací obrazovky. Ověřte:
- celé číslo buildu DSM proti tabulce,
- stav storage poolu a všech svazků,
- dostupnost používaných sdílených složek,
- přístupová oprávnění běžných uživatelů,
- stav zálohovacích a synchronizačních úloh,
- funkčnost aplikací skutečně provozovaných na NAS.
Výsledek zapište do evidence IT: identifikaci zařízení, původní a nový build, čas zásahu, stav zálohy a provedené kontroly. Má-li firma více NAS, opakujte ověření pro každý z nich.
Pokud neznáte stav všech zařízení, nemáte ověřenou oddělenou zálohu nebo NAS zajišťuje důležité firemní služby, můžeme kontrolu a aktualizaci provést v rámci správy firemního IT. Výsledkem má být doložený opravený build, dostupná data a ověřené služby, ne pouze stisknutí tlačítka Aktualizovat.
Proč nestačí skrýt DSM z internetu
Zrušení přesměrovaného portu, omezení pravidel firewallem nebo přístup přes VPN zmenšují útočnou plochu. Jsou to rozumná doplňková opatření, ale neopravují chybu v DSM.
Synology v bulletinu neuvádí žádnou mitigaci, která by mohla instalaci opraveného buildu zastoupit. Zranitelný systém navíc může být dosažitelný z napadeného počítače uvnitř firemní sítě, i když jeho administrace není veřejně přístupná.
Vzdálený přístup proto omezte, ale nepovažujte to za dokončenou nápravu. Bezpečné zpřístupnění firemních systémů podrobněji rozebíráme v článku Vzdálený přístup do firmy: RDP, VPN a ZTNA.
Nejčastější otázky
Které chyby mají skóre CVSS 9,8?
CVE-2026-13684 a CVE-2026-13639. Podle Synology je lze zneužít vzdáleně, bez přihlášení a bez interakce uživatele.
Je každé DSM 7.2 zranitelné?
Ne. Rozhoduje celá větev a přesný build. Například ve větvi DSM 7.2.2 jsou zranitelné buildy před 7.2.2-72806-9.
Stačí zakázat přístup k DSM z internetu?
Ne. Omezení přístupu snižuje útočnou plochu, ale Synology pro tyto chyby neuvádí mitigaci nahrazující aktualizaci.
Mám instalovat aktualizaci bez zálohy?
Nejprve ověřte použitelnou oddělenou zálohu a naplánujte zásah tak, aby zranitelný systém nezůstal zbytečně dlouho v provozu. Pokud je storage pool degradovaný nebo svazek hlásí chyby, nejprve vyhodnoťte stav úložiště.
Co je nutné ověřit po aktualizaci?
Přesný build DSM, stav storage poolu a svazků, dostupnost sdílených složek, oprávnění, zálohovací úlohy, synchronizaci a aplikace provozované na NAS.