NAS Synology : deux failles majeures corrigées, voici les versions DSM à installer

Si vous utilisez un NAS Synology pour conserver vos sauvegardes, votre bibliothèque multimédia ou vos fichiers de jeu, vérifiez sa version de DiskStation Manager (DSM). Le 10 novembre 2026, le constructeur a publié des correctifs contre deux vulnérabilités permettant des actions à distance sans authentification, dont une faille critique évaluée à 9,8/10. Les versions à installer varient selon la branche DSM. Pour situer les enjeux des mises à jour serveur, retrouvez aussi notre article sur les correctifs de sécurité PHP.

Deux failles dans DSM : quels risques pour vos fichiers ?

CVE-2026-76954 concerne l’API d’authentification de DSM. Synology décrit une vulnérabilité d’injection SQL (CWE-89) pouvant permettre à un attaquant distant de lire ou de modifier des fichiers arbitraires, ainsi que de provoquer un déni de service. Son score CVSS 3.1 atteint 9,8, niveau critique.

CVE-2026-85101 touche quant à elle rsync, un mécanisme de synchronisation et de transfert de fichiers. Il s’agit d’un contournement d’authentification (CWE-288), noté 8,6/10. Les conséquences possibles sont la lecture de certains fichiers, l’écriture de fichiers arbitraires et un déni de service limité. Dans les deux cas, les vecteurs CVSS publiés indiquent qu’aucun compte préalable ni interaction de l’utilisateur ne sont nécessaires au scénario considéré.

Il faut distinguer possibilité technique et incident constaté : l’avis de sécurité officiel ne rapporte pas de campagne d’exploitation en cours. De même, « déni de service » ne signifie pas qu’une attaque DDoS distribuée a été observée contre les NAS concernés.

Quelles versions de DSM installer sur un NAS Synology ?

L’avis officiel Synology-SA-26:19 donne les versions minimales contenant les correctifs. Identifiez d’abord votre branche DSM, puis vérifiez que le numéro installé atteint au moins celui indiqué :

Les versions ultérieures de la même branche intégrant ces correctifs conviennent également. L’avis classe l’ensemble de ces branches comme affectées avant mise à jour et affiche le statut « Resolved » : cela signifie que Synology a publié les corrections, pas que votre propre NAS les a déjà installées.

Comment vérifier et appliquer la mise à jour ?

1. Connectez-vous à l’interface DSM avec un compte administrateur sur votre réseau de confiance.
2. Ouvrez le Panneau de configuration, puis la rubrique « Mise à jour et restauration » (l’intitulé peut varier selon la version).
3. Relevez la version et le numéro de build installés ; comparez-les à la ligne correspondante du tableau.
4. Installez la mise à jour DSM proposée par Synology ou suivez la procédure officielle correspondant à votre modèle. Prévoyez une courte interruption des services et vérifiez vos sauvegardes avant l’opération.
5. Après redémarrage, contrôlez le nouveau numéro de version et le fonctionnement des partages, sauvegardes et services utilisés.

Synology précise qu’aucune mesure d’atténuation alternative n’est proposée pour ces deux failles. Réduire l’accès distant, éviter d’exposer inutilement les services du NAS à Internet et disposer de sauvegardes indépendantes restent de bonnes pratiques, mais ne remplacent pas le correctif. Si aucune mise à jour n’est proposée, vérifiez la compatibilité du modèle et les téléchargements officiels Synology plutôt que d’installer un fichier provenant d’une source inconnue.

Pourquoi les joueurs et créateurs de contenu sont concernés

Un NAS domestique peut héberger des captures de jeu, des vidéos, des mods, des documents personnels ou des sauvegardes de projets. Le risque potentiel n’est donc pas limité aux entreprises : la possibilité d’écrire des fichiers sans autorisation suffit à justifier une vérification rapide. Si vous utilisez aussi des machines Linux et des services de partage sur votre réseau, notre dossier sur les vulnérabilités Linux et Steam Deck explique pourquoi l’exposition dépend toujours du composant actif et de la configuration.

À retenir au 12 novembre 2026 : Synology a corrigé les deux vulnérabilités dans quatre branches DSM. Le réflexe utile consiste à comparer le numéro exact de votre système au correctif officiel, à installer la mise à jour adaptée puis à confirmer sa bonne application. Source primaire : bulletin de sécurité Synology, publié le 10 novembre 2026.