Synology ha emitido un aviso de seguridad crítico sobre varias vulnerabilidades en su paquete MailPlus Server. Estos fallos podrían permitir que atacantes ejecuten ataques de denegación de servicio (DoS), accedan a servicios internos y lean o modifiquen archivos arbitrarios. El problema afecta a múltiples versiones que se ejecutan en DiskStation Manager (DSM), por lo que se insta a los usuarios a actualizar inmediatamente.

Synology ha publicado un aviso de seguridad crítico para abordar múltiples vulnerabilidades en su paquete MailPlus Server que podrían permitir a los atacantes ejecutar ataques de denegación de servicio (DoS), acceder a servicios internos y leer o modificar archivos arbitrarios.

Las vulnerabilidades afectan a múltiples versiones de MailPlus Server que se ejecutan en DiskStation Manager (DSM), y se te insta encarecidamente a que actualices inmediatamente, ya que los parches están disponibles pero no existen medidas de mitigación alternativas.

Vulnerabilidades de Synology MailPlus Server

El aviso destaca tres vulnerabilidades, incluidas dos fallos críticos con graves implicaciones de seguridad.

CVE-2026-13136 (CVSS 10.0): Esta vulnerabilidad crítica permite a atacantes remotos leer o escribir archivos arbitrarios y provocar ataques DoS.

Está asociada con CWE-863 (Autorización Incorrecta), lo que indica mecanismos de control de acceso inadecuados. El fallo no requiere autenticación y puede explotarse a través de la red, lo que lo hace extremadamente peligroso.

CVE-2025-15660 (CVSS 9.6): Descubierta por la Zero Day Initiative (ZDI-CAN-28554) de Trend Micro, esta vulnerabilidad permite a atacantes adyacentes realizar acciones similares, incluida la manipulación de archivos y la interrupción del servicio.

Está vinculada a CWE-338 (Uso de PRNG Criptográficamente Débil), lo que indica debilidades en el generador de números aleatorios que podrían ser explotadas.

CVE-2026-13135 (CVSS 5.3): Este problema de gravedad moderada permite a atacantes remotos acceder a servicios internos debido a restricciones inadecuadas en los canales de comunicación (CWE-923). Aunque es menos grave, aún podría aprovecharse en una cadena de ataques.

Las vulnerabilidades críticas afectan a Synology MailPlus Server en DSM 7.3, 7.2.2 y 7.2.1. Debes actualizar a la versión 4.0.1-31663 o posterior para DSM 7.3, o a la versión 4.0.1-21663 o posterior para DSM 7.2.2 y DSM 7.2.1, para mitigar el riesgo inmediatamente.

El fallo más grave, CVE-2026-13136, tiene una puntuación CVSS de 10.0, lo que indica un impacto máximo en confidencialidad, integridad y disponibilidad.

Los atacantes podrían explotar esta vulnerabilidad de forma remota sin interacción del usuario, lo que podría conducir al compromiso total del sistema, al acceso o modificación no autorizados de archivos y a interrupciones del servicio mediante ataques de denegación de servicio (DoS).

Dada la falta de privilegios requeridos y la baja complejidad del ataque, la vulnerabilidad representa un riesgo significativo para los sistemas expuestos.

Synology confirmó que no existe ninguna mitigación o solución alternativa para estas vulnerabilidades. La única protección efectiva es aplicar las actualizaciones de seguridad proporcionadas.

Las organizaciones que utilizan MailPlus Server en entornos de producción, especialmente aquellas expuestas a Internet, se enfrentan a un riesgo mayor si los sistemas permanecen sin parchear.

Para reducir la exposición y evitar la explotación, debes actualizar inmediatamente a las versiones parcheadas de MailPlus Server y restringir el acceso externo a los servicios de MailPlus siempre que sea posible.

Monitorea los registros en busca de actividad inusual o intentos de acceso no autorizados. Implementa la segmentación de red para limitar el movimiento lateral.

Las vulnerabilidades fueron identificadas por investigadores de seguridad, incluyendo a Gcali trabajando con la Zero Day Initiative de Trend Micro y ABBA Labs.

Synology publicó el aviso Synology-SA-26:11 el 26 de junio de 2026, confirmando que todas las vulnerabilidades rastreadas han sido resueltas en las versiones actualizadas más recientes.

Con vulnerabilidades críticas afectando activamente a infraestructuras de servidores de correo ampliamente utilizadas, el parcheo oportuno sigue siendo esencial para mantener la seguridad del sistema y prevenir una posible explotación.