Synology DSM'de kritik açık: Auth API'de SQL injection (CVE-2026-76954) ve rsync'te authentication bypass (CVE-2026-85101)
Synology'nin SA-26:19 bülteni, DSM 7.2.1'den 7.4'e kadar dört sürüm hattını etkileyen iki uzaktan istismar edilebilir açığı kapatıyor. Kimlik doğrulama gerektirmeyen CVE-2026-76954 CVSS 9.8 puan aldı; üretici geçici önlem yayımlamadı, tek çözüm güncelleme.
CVE-2026-76954, CVE-2026-85101
Synology, 10 Kasım'da yayımladığı Synology-SA-26:19 bülteniyle DiskStation Manager'da (DSM) iki açığı kapattı. Kritik dereceli CVE-2026-76954, DSM'nin Auth API bileşenindeki bir SQL injection açığı. Kimlik doğrulama ya da kullanıcı etkileşimi gerektirmiyor ve CVSS 3.1 puanı 9.8. Üreticiye göre uzaktaki bir saldırgan bu açıkla rastgele dosya okuyup yazabiliyor ve servis kesintisi yaratabiliyor. İkinci açık CVE-2026-85101 (CVSS 8.6) ise rsync servisinde bir authentication bypass. Bu açıkla belirli dosyalar okunabiliyor, rastgele dosya yazılabiliyor ve sınırlı servis kesintisi yaratılabiliyor.
Bülten 12 Kasım itibarıyla ilk sürümünde. Synology sahada istismar bildirmedi ve iki CVE de CISA KEV kataloğunda yok. Yine de DSM yönetim arayüzü internete açık çok sayıda NAS var ve Synology cihazlar fidye yazılımı gruplarının sık hedefi (Synology'nin SA-24:20 uyarısı). Bu yüzden güncelleme beklememeli.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| DSM 7.4 | 7.4.1-90080-1 öncesi | 7.4.1-90080-1 ve üzeri |
| DSM 7.3 | 7.3.2-86009-5 öncesi | 7.3.2-86009-5 ve üzeri |
| DSM 7.2.2 | 7.2.2-72806-10 öncesi | 7.2.2-72806-10 ve üzeri |
| DSM 7.2.1 | 7.2.1-69057-13 öncesi | 7.2.1-69057-13 ve üzeri |
Bülten DSM UC, BeeStation ve diğer Synology ürünleri için satır içermiyor. 7.2.1'den eski sürümlerin durumu CVE kayıtlarında "bilinmiyor" olarak geçiyor. Güncel liste için üretici bildirimine bakın.
Beni etkiliyor mu?
- DSM sürümünü arayüzden görmek için: Denetim Masası › Bilgi Merkezi › Genel sekmesindeki "DSM sürümü" satırına bakın.
- SSH erişimi açıksa sürüm dosyasını salt okunur olarak görüntüleyebilirsiniz:
cat /etc.defaults/VERSION- rsync servisinin açık olup olmadığını Denetim Masası › Dosya Hizmetleri › rsync sekmesinden kontrol edin.
- DSM yönetim portlarının (varsayılan 5000/5001) ve rsync portunun (873) internetten erişilebilir olup olmadığını güvenlik duvarı ya da router port yönlendirme kurallarından kontrol edin.
Sürümünüz tablodaki düzeltilmiş sürümden eskiyse ve cihaz ağdan erişilebiliyorsa etkileniyorsunuz.
Ne yapılmalı?
- DSM'yi kullandığınız hatta karşılık gelen düzeltilmiş sürüme güncelleyin (Denetim Masası › Güncelleme ve Geri Yükleme). Synology'ye göre geçici önlem (workaround) yok; tek çözüm patch.
- Güncelleme hemen yapılamıyorsa DSM yönetim arayüzünü ve rsync servisini internete kapatın; erişimi VPN ya da iç ağla sınırlayın. Kullanılmıyorsa rsync servisini kapatmak riski azaltır. Bu öneri üreticinin değil, genel hardening önlemidir.
- Günlük Merkezi'nde (Log Center) beklenmeyen oturum açma, yeni yönetici hesabı ve olağandışı dosya değişikliği kayıtlarını gözden geçirin.
- Güncellemeden önce kritik paylaşımların yedeğinin alındığından emin olun. Kurumsal ortamlarda değişikliği change management sürecine bağlayın ve bakım penceresini kısa tutun.
- Bülten için Synology güvenlik danışma sayfasını izleyin; istismar raporu ya da KEV eklemesi gelirse SiberMagazin bu haberi güncelleyecek.
