Synology a publié le 10 novembre 2026 une mise à jour de DSM, le système qui fait tourner ses NAS, pour combler une faille Synology notée 9,8 sur 10 et exploitable à distance sans aucun mot de passe. Si votre NAS fonctionne sous DSM 7.2.1, 7.2.2, 7.3 ou 7.4, il doit passer sur une version corrigée, car le constructeur n’indique aucune autre parade.
Un NAS, c’est un boîtier rempli de disques durs branché sur votre box, qui sert de coffre-fort pour les photos, les documents et les sauvegardes de toute la maison. Il reste allumé jour et nuit. Il est aussi souvent accessible depuis Internet, ce qui en fait une cible appréciée des pirates.
Que corrige exactement Synology ?
La mise à jour comble deux failles graves décrites dans le bulletin SA-26:19, classé critique par le fabricant taïwanais. Toutes deux peuvent être exploitées par une personne qui ne possède aucun compte sur l’appareil.
La première, référencée CVE-2026-76954, est une injection SQL dans le module qui gère les connexions à DSM. Le principe ressemble à une consigne cachée glissée dans un formulaire. Au lieu de lire un simple identifiant, le système exécute un ordre envoyé par l’attaquant. Celui-ci peut alors lire ou modifier n’importe quel fichier du NAS, ou le rendre inutilisable.
La seconde, CVE-2026-85101, obtient la note de 8,6 sur 10. Elle touche rsync, l’outil de synchronisation très utilisé pour copier des sauvegardes d’un appareil à l’autre. Un pirate peut contourner son authentification pour écrire des fichiers à distance.
Votre NAS est-il touché par la faille Synology ?
Oui, dès lors que son système n’a pas reçu la dernière mise à jour DSM, quel que soit le modèle. La faille Synology dépend en effet de la version du logiciel et non du boîtier, c’est pourquoi le constructeur ne publie pas de liste de NAS touchés. Voici les numéros à atteindre, au minimum, selon la branche installée :
- DSM 7.4 : version 7.4.1-90080-1 ou plus récente ;
- DSM 7.3 : version 7.3.2-86009-5 ou plus récente ;
- DSM 7.2.2 : version 7.2.2-72806-10 ou plus récente ;
- DSM 7.2.1 : version 7.2.1-69057-13 ou plus récente.
Pour connaître votre version, il suffit d’ouvrir le Panneau de configuration de DSM puis la rubrique Centre d’infos, qui l’affiche en clair.
Vingt-cinq autres failles comblées en même temps
Un second bulletin, SA-26:18, publié le même jour, regroupe 25 vulnérabilités supplémentaires qui ne concernent que DSM 7.3 et DSM 7.4. Synology le classe comme important, un cran en dessous de critique. La plupart de ces failles exigent en effet déjà un compte sur le NAS.
Les plus sérieuses atteignent 8,8 sur 10 et touchent la connexion unique, le partage de fichiers et l’authentification. Deux d’entre elles restent toutefois accessibles sans identifiant. L’une, dans le service de partage NFS, peut faire planter l’appareil. L’autre, dans WebDAV, laisse lire certains fichiers. Les mêmes versions 7.4.1-90080-1 et 7.3.2-86009-5 les corrigent toutes.
Ces failles sont-elles déjà exploitées par des pirates ?
Aucune attaque utilisant ces failles n’a été signalée au 12 novembre 2026, et aucun code d’attaque n’a été rendu public. Les pirates analysent toutefois souvent les correctifs publiés pour retrouver la faille d’origine et viser ensuite les appareils restés en retard.
Synology en a fait l’expérience récemment. Le 29 octobre 2026, la marque a alerté sur des attaques par rançongiciel visant des NAS restés sous d’anciennes versions de DSM. Un rançongiciel chiffre vos fichiers, puis exige un paiement pour les rendre. Les pirates y exploitaient une faille pourtant corrigée depuis décembre 2024.
Ces dernières semaines, le constructeur a aussi diffusé des correctifs pour plusieurs paquets installés sur ses NAS, dont PHP et Plex Media Server. Les box Internet suivent le même rythme, comme l’a montré la série de correctifs de sécurité de la Freebox début novembre.
Comment installer la mise à jour DSM sur votre NAS ?
La mise à jour se fait depuis l’interface web du NAS, avec un compte administrateur, en quelques minutes suivies d’un redémarrage.
- Connectez-vous à DSM depuis un navigateur avec un compte administrateur.
- Ouvrez le Panneau de configuration, puis la rubrique Mise à jour et restauration.
- Dans l’onglet Mise à jour de DSM, lancez le téléchargement de la version proposée.
- Laissez le NAS redémarrer sans l’éteindre, puis vérifiez le nouveau numéro de version.
- Activez les mises à jour automatiques dans le même menu, comme le recommande Synology depuis son alerte d’octobre.
Dans les entreprises, ces correctifs Synology arrivent en même temps que le Patch Tuesday de novembre publié par Microsoft, qui comblait lui aussi des failles critiques le 10 novembre 2026.
