Synology ha publicado el aviso de seguridad Synology_SA_26_19 para corregir dos vulnerabilidades críticas en DiskStation Manager (DSM), el sistema operativo que usan sus servidores NAS. Los fallos permiten a un atacante remoto leer y escribir archivos arbitrarios sin necesidad de iniciar sesión, además de provocar denegaciones de servicio. A continuación repasamos qué versiones de DSM quedan expuestas, qué implica este tipo de acceso y los pasos para instalar la actualización cuanto antes.

Un NAS doméstico o de pyme suele concentrar copias de seguridad, documentos de clientes y fotografías familiares en un único punto. Que el fallo resida precisamente en el sistema de inicio de sesión es el escenario más temido por cualquier administrador: implica saltarse por completo la autenticación. Synology califica la gravedad como crítica y otorga a la vulnerabilidad principal una puntuación CVSS de 9.8 sobre 10, la nota más alta que puede recibir un fallo de este tipo. El fabricante ya ha liberado las actualizaciones correspondientes, aunque el tiempo que tardes en instalarlas es la ventana en la que tu equipo queda más expuesto.

Qué fallos críticos corrige el aviso Synology_SA_26_19

El aviso oficial Synology_SA_26_19, publicado el 10 de noviembre de 2026, detalla dos vulnerabilidades en DSM. La primera, catalogada como CVE-2026-76954, es una inyección SQL en la API de autenticación, descrita por Synology como una «neutralización incorrecta de elementos especiales utilizados en un comando SQL». El fallo permite a un atacante remoto leer o escribir archivos arbitrarios y provocar denegaciones de servicio, sin necesidad de credenciales.

La segunda, CVE-2026-85101, afecta al servicio rsync y recibe la calificación de importante, con una puntuación CVSS de 8.6. Se trata de una «omisión de autenticación mediante una ruta o canal alternativo», que permite leer archivos específicos, escribir otros de forma arbitraria y provocar denegaciones de servicio limitadas. El hallazgo lleva la firma de Nguyễn Bá Nam Dũng y Hà Thế Long, investigadores del Viettel Cyber Security Research Lab, junto con Warisse Valentin, de Aytio.

Qué versiones de DSM están afectadas y cómo corregirlas

El problema no afecta a un modelo concreto de hardware, sino al núcleo del sistema operativo que monta la mayoría de los NAS de la marca. Cualquier equipo que ejecute una de las cuatro ramas principales de DSM sin el parche más reciente sigue siendo vulnerable a día de hoy. El aviso confirma la exposición en estas versiones:

• DSM 7.4
• DSM 7.3
• DSM 7.2.2
• DSM 7.2.1

Synology ya ha publicado la compilación mínima que cierra la brecha en cada rama: la 7.4 debe actualizarse a 7.4.1-90080-1 o superior, la 7.3 a 7.3.2-86009-5 o superior, la 7.2.2 a 7.2.2-72806-10 o superior y la 7.2.1 a 7.2.1-69057-13 o superior. En el apartado dedicado a mitigaciones, el propio aviso se limita a decir «None» (ninguna): Synology no ofrece ninguna configuración alternativa que reduzca el riesgo mientras tanto, por lo que la única vía para proteger el equipo es instalar la actualización correspondiente.

Qué puede hacer un atacante con estas vulnerabilidades

El vector de ataque viaja por la red, no exige privilegios previos y no necesita que la víctima haga nada: basta con conocer la dirección IP o el dominio de acceso del NAS para intentar explotarlo. Al tratarse de fallos en la autenticación, el atacante se salta directamente el inicio de sesión.

Una vez dentro, el aviso oficial describe un abanico concreto: leer o escribir archivos arbitrarios a través de la API de autenticación (CVE-2026-76954), o leer archivos específicos y escribir otros de forma arbitraria aprovechando el servicio rsync (CVE-2026-85101). Ambos fallos permiten además provocar una denegación de servicio, es decir, dejar el NAS sin funcionar mientras dura el ataque. En RedesZone siempre hemos recomendado no exponer el NAS directamente a internet, pero si tienes activado QuickConnect o puertos abiertos en el router, el riesgo de sufrir un intento automatizado es inmediato.