Коротка відповідь: Критична вразливість Synology DSM, про яку повідомили 18 вересня 2026 року, стосується невиправлених збірок у гілках DSM від 7.2.1 до 7.4. З’ясуйте повний номер збірки, перевірте придатну до відновлення резервну копію поза NAS, який оновлюється, та встановіть виправлену версію. Обмеження доступу з інтернету знижує ризик, але не замінює оновлення.
Дві вразливості дають змогу атакувати без автентифікації
Компанія Synology 18 вересня 2026 року опублікувала бюлетень безпеки щодо восьми вразливостей у DSM. Дві з них, CVE-2026-13684 і CVE-2026-13639, мають базову оцінку CVSS 9,8.
Згідно з бюлетенем безпеки Synology, обидві вразливості можна експлуатувати через мережу, без автентифікації та без участі користувача. Атака має низьку технічну складність і може вплинути на конфіденційність, цілісність та доступність системи.
Synology зазначає, що ці вразливості дають змогу читати або записувати довільні файли та спричиняти відмову в обслуговуванні:
- CVE-2026-13684 пов’язана з неналежною обробкою виводу в інтерфейсі SCGI,
- CVE-2026-13639 стосується недостатньої ентропії в логіці входу до системи.
Французький CERT-FR у своєму попередженні від 21 вересня 2026 року також зазначає для всієї сукупності з восьми вразливостей віддалене виконання коду, SQL-ін’єкції та XSS. Однак без додаткових відомостей ці наслідки не можна приписати саме двом вразливостям з оцінкою CVSS 9,8.
У цитованих бюлетенях не вказано, чи ці вразливості вже активно експлуатувалися. Проте відсутність такої інформації не є підставою відкладати оновлення: виробник класифікує проблему як критичну й не наводить жодного альтернативного способу зниження ризику.
Які збірки DSM є вразливими
Позначення «DSM 7» або «DSM 7.2» недостатньо. Вирішальне значення мають гілка системи та повний номер установленої збірки.
| Гілка DSM | Вразливі інсталяції | Найнижча виправлена збірка |
|---|---|---|
| DSM 7.2.1 | до 7.2.1-69057-12 | 7.2.1-69057-12 |
| DSM 7.2.2 | до 7.2.2-72806-9 | 7.2.2-72806-9 |
| DSM 7.3 | до 7.3.2-86009-4 | 7.3.2-86009-4 |
| DSM 7.4.x | до 7.4-90075 | 7.4-90075 |
Таблицю складено на основі виправлених версій, наведених у бюлетені Synology від 18 вересня 2026 року. Для кожної гілки виробник рекомендує перейти на зазначену збірку «або новішу».
Установлену версію можна дізнатися після входу до DSM, зазвичай у розділі Панель керування → Оновлення та відновлення. Назва пункту меню може відрізнятися залежно від мови та версії інтерфейсу. Запишіть повне позначення перед оновленням і знову перевірте його після перезапуску.
Повідомлення «система оновлена» саме по собі не є достатнім доказом. Порівняйте показаний номер збірки з таблицею. Якщо DSM не пропонує оновлення автоматично, це не означає, що старіша інсталяція безпечна.
Що насправді означає CVSS 9,8
CVSS визначає технічну серйозність вразливості, а не ймовірність того, що атакують саме ваш NAS. Висока оцінка обох вразливостей зумовлена поєднанням несприятливих характеристик:
- атаку можна провести через мережу,
- вона не потребує автентифікованого облікового запису,
- вона не потребує натискання чи іншої взаємодії користувача,
- її технічна складність є низькою,
- вплив на дані та доступність системи є значним.
Тому для корпоративного NAS йдеться не лише про ризик тимчасової недоступності адміністрування. Можливість читати або змінювати довільні файли може зачепити спільні папки, робочі документи та резервні копії, збережені на пристрої.
Однак сама оцінка CVSS не вказує, чи доступний NAS із публічного інтернету, чи відокремлений він від робочих станцій і чи доступний лише з внутрішньої мережі. Ці обставини впливають на реальну поверхню атаки, але не змінюють того факту, що встановлена збірка є вразливою.
Перед оновленням перевірте сховище та резервну копію
Не відкладайте критичне виправлення, але й не встановлюйте його без базової перевірки пристрою. Безпечна процедура складається з чотирьох кроків.
1. Запишіть модель, гілку DSM і повний номер збірки
Не покладайтеся на застарілу інвентаризаційну таблицю. Отримайте ці дані безпосередньо з кожного NAS, який використовує компанія. Окремо перевірте основний і резервний пристрої: оновлений резервний NAS не підтверджує стан основної системи.
2. Перевірте стан пулу зберігання та томів
Перед перезапуском переконайтеся, що DSM не повідомляє про деградований пул зберігання, пошкоджений том або поточне відновлення масиву. Якщо сховище не справне, не запускайте автоматично відновлення чи оновлення без оцінювання його стану. Подальші дії описано у статті Synology повідомляє про проблему з томом: коли слід втрутитися.
3. Перевірте окрему резервну копію
RAID насамперед забезпечує безперервність роботи в разі відмови диска. Він не замінює резервну копію. Так само знімок, збережений лише на NAS, який оновлюється, не є окремою копією.
Недостатньо того, що останнє завдання резервного копіювання позначене зеленим. Спробуйте відновити з окремої резервної копії кілька вибраних файлів і перевірте, чи мають вони очікуваний вміст. Практичну процедуру наведено в інструкції Тест відновлення резервної копії: як його провести та задокументувати.
4. Підготуйте вікно технічного обслуговування
Оновлення може потребувати перезапуску. Врахуйте тимчасову недоступність спільних папок, завдань резервного копіювання, синхронізації та застосунків, які працюють на NAS. Заздалегідь повідомте користувачів про перерву та визначте, які процеси потрібно перевірити одразу після запуску.
Як завершити оновлення
Установіть щонайменше найнижчу виправлену збірку, зазначену для використовуваної гілки DSM. Під час ручного встановлення пакет оновлення має відповідати точній моделі NAS; дотримуйтеся інструкцій Synology.
Після перезапуску не обмежуйте перевірку екраном входу. Перевірте:
- повний номер збірки DSM за таблицею,
- стан пулу зберігання та всіх томів,
- доступність використовуваних спільних папок,
- права доступу звичайних користувачів,
- стан завдань резервного копіювання та синхронізації,
- роботу застосунків, які фактично використовуються на NAS.
Занесіть результат до IT-документації: ідентифікацію пристрою, початкову й нову збірки, час проведення робіт, стан резервної копії та виконані перевірки. Якщо компанія має кілька NAS, повторіть перевірку для кожного з них.
Якщо ви не знаєте стану всіх пристроїв, не маєте перевіреної окремої резервної копії або NAS забезпечує роботу важливих корпоративних служб, ми можемо провести перевірку й оновлення у межах обслуговування корпоративної IT-інфраструктури. Результатом мають бути підтверджена виправлена збірка, доступні дані та перевірені служби, а не лише натискання кнопки «Оновити».
Чому недостатньо приховати DSM від інтернету
Видалення перенаправлення порту, обмеження за допомогою правил міжмережевого екрана або доступ через VPN зменшують поверхню атаки. Це доцільні додаткові заходи, але вони не виправляють вразливість у DSM.
У бюлетені Synology не наводить жодного способу зниження ризику, який міг би замінити встановлення виправленої збірки. Крім того, вразлива система може бути доступною зі скомпрометованого комп’ютера всередині корпоративної мережі, навіть якщо її інтерфейс адміністрування не доступний публічно.
Тому обмежте віддалений доступ, але не вважайте це завершеним усуненням проблеми. Безпечний доступ до корпоративних систем докладніше розглянуто у статті Віддалений доступ до компанії: RDP, VPN і ZTNA.
Найпоширеніші запитання
Які вразливості мають оцінку CVSS 9,8?
CVE-2026-13684 і CVE-2026-13639. За даними Synology, їх можна експлуатувати віддалено, без автентифікації та без взаємодії користувача.
Чи кожна версія DSM 7.2 є вразливою?
Ні. Вирішальне значення мають точна гілка та номер збірки. Наприклад, у гілці DSM 7.2.2 вразливими є збірки до 7.2.2-72806-9.
Чи достатньо заборонити доступ до DSM з інтернету?
Ні. Обмеження доступу зменшує поверхню атаки, але Synology не наводить для цих вразливостей способу зниження ризику, який міг би замінити оновлення.
Чи слід установлювати оновлення без резервної копії?
Спочатку перевірте придатну до відновлення окрему резервну копію та сплануйте роботи так, щоб вразлива система не залишалася в експлуатації без потреби. Якщо пул зберігання деградований або том повідомляє про помилки, спочатку оцініть стан сховища.
Що потрібно перевірити після оновлення?
Точний номер збірки DSM, стан пулу зберігання та томів, доступність спільних папок, права доступу, завдання резервного копіювання, синхронізацію та застосунки, які працюють на NAS.
Де нас знайти
ITHOPE — компанія з Брно, Чехія: ми робимо відновлення даних з дисків, RAID і NAS, сервіс ПК та ноутбуків та IT для бізнесу, усе у власній лабораторії за адресою Viniční 3587/216, 615 00 Brno.
Телефон +420 775 556 063 (цілодобово). Пристрій можна привезти особисто або надіслати курʼєром (Zásilkovna, PPL).