NAS Synology : une faille critique menace vos fichiers, voici les mises à jour à installer
Synology vient de publier des correctifs pour plusieurs failles de sécurité dans DSM, le système de ses NAS. L’une d’elles atteint une gravité de 9,8 sur 10 et peut permettre à un attaquant distant d’accéder aux fichiers sans disposer d’identifiants. Les versions DSM 7.2.1 à 7.4 sont concernées lorsqu’elles n’ont pas reçu les correctifs du 10 novembre 2026.
Une faille critique dans le système des NAS Synology
Un NAS sert souvent à conserver les photos familiales, les sauvegardes d’ordinateurs ou les documents d’une petite entreprise. Ces fichiers sont particulièrement sensibles lorsqu’un appareil devient accessible depuis Internet.
Le bulletin Synology-SA-26:19, publié le 10 novembre, décrit deux vulnérabilités importantes.
La première, CVE-2026-76954, touche l’Auth API, un composant utilisé pour gérer l’authentification dans DSM. Il s’agit d’une injection SQL, une catégorie de faille permettant de manipuler des requêtes adressées à une base de données.
Synology lui attribue un score CVSS de 9,8 sur 10, correspondant à une gravité critique.
Un attaquant distant peut potentiellement lire ou modifier des fichiers, voire provoquer une indisponibilité du système. La vulnérabilité ne nécessite ni authentification préalable ni intervention de la victime.
La seconde faille, CVE-2026-85101, concerne rsync, un outil utilisé pour synchroniser des fichiers entre plusieurs machines.
Ce défaut de contrôle d’authentification, évalué à 8,6 sur 10, peut également permettre l’écriture de fichiers à distance et la lecture de certains fichiers.
Quelles versions de DSM sont vulnérables ?
L’alerte concerne quatre branches de DiskStation Manager. Les modèles de NAS ne sont pas désignés individuellement : c’est principalement la version installée qui permet de déterminer l’exposition.
Les versions corrigées sont les suivantes :
| Branche DSM | Version corrigée |
|---|---|
| DSM 7.4 | 7.4.1-90080-1 |
| DSM 7.3 | 7.3.2-86009-5 |
| DSM 7.2.2 | 7.2.2-72806-10 |
| DSM 7.2.1 | 7.2.1-69057-13 |
Ces références figurent dans les bulletins de Synology et dans l’avis CERTFR-2026-AVI-1493 publié par le CERT-FR.
Un NAS utilisant déjà l’une de ces versions corrigées, ou une version ultérieure de la même branche intégrant les correctifs, n’est plus affecté par les deux vulnérabilités décrites.
Les anciennes branches de DSM ne sont pas couvertes par cet avis précis. Cela ne signifie pas qu’elles sont exemptes de vulnérabilités : leur niveau de support doit être vérifié séparément.
Comment mettre à jour son NAS Synology ?
La procédure s’effectue depuis l’interface d’administration du NAS.
Connectez-vous à DSM avec un compte administrateur, puis ouvrez le « Panneau de configuration ».
Rendez-vous dans « Mise à jour et restauration », puis dans la section consacrée aux mises à jour de DSM.
Le système affiche la version actuellement installée et recherche les correctifs disponibles.
Si une mise à jour est proposée, vérifiez sa référence, sauvegardez vos données importantes, puis lancez l’installation. Le NAS peut redémarrer pendant l’opération.
Il arrive qu’une nouvelle version ne soit pas immédiatement proposée à tous les appareils. Dans ce cas, consultez le centre de téléchargement officiel de Synology en sélectionnant exactement votre modèle.
N’installez jamais un fichier de mise à jour destiné à un autre NAS. Sur les anciennes versions, plusieurs mises à niveau successives peuvent être nécessaires.
Que faire si la mise à jour n’est pas possible immédiatement ?
Synology ne documente aucune solution de contournement corrigeant ces vulnérabilités sans installer le correctif.
Il reste toutefois possible de réduire temporairement l’exposition.
Un NAS directement accessible depuis Internet représente un risque plus important qu’un appareil isolé sur un réseau local correctement protégé.
En attendant la mise à jour, désactivez les redirections de ports inutiles sur votre routeur et limitez les accès distants aux services indispensables. L’utilisation d’un VPN correctement configuré peut également restreindre l’accès à l’administration.
Ces mesures diminuent la surface d’attaque, sans remplacer les correctifs.
Pour une entreprise, il est préférable de planifier rapidement une fenêtre de maintenance plutôt que de laisser un système vulnérable accessible publiquement.
Les sauvegardes doivent aussi être vérifiées
Une faille permettant de modifier des fichiers peut avoir des conséquences importantes sur un système utilisé pour les sauvegardes.
La présence de plusieurs disques en RAID ne garantit pas la récupération de documents supprimés ou corrompus. Il faut disposer d’une sauvegarde indépendante, idéalement conservée hors ligne ou protégée contre les modifications.
Vérifiez également que vos tâches de sauvegarde récentes se sont terminées correctement.
Les entreprises qui utilisent plusieurs NAS peuvent profiter de cette opération pour inventorier les versions installées et contrôler les accès administrateurs.
La sécurité des outils techniques avait déjà été abordée sur Geekinfos avec l’incident touchant OVHcloud CLI, qui montrait l’importance de vérifier les logiciels utilisés pour administrer une infrastructure.
Une alerte confirmée par les autorités françaises
Le CERT-FR a publié son avis le 10 novembre 2026. Il mentionne notamment des risques d’atteinte à la confidentialité, de contournement des protections et de déni de service.
Synology considère les vulnérabilités comme corrigées dans les versions indiquées. Les bulletins consultés ne démontrent pas qu’une campagne d’exploitation active soit actuellement en cours.
L’urgence tient donc à la gravité des failles et aux conséquences possibles sur les données, pas à une attaque généralisée déjà confirmée.
Si vous possédez un NAS Synology, vérifier sa version DSM reste l’action la plus utile. Quelques minutes de contrôle permettent de savoir si votre système dispose des correctifs publiés le 10 novembre.