Producto(s) afectado(s):
| Producto | Versiones afectadas | Corregida en |
| DSM 7.4 | Anteriores a 7.4.1-90080-1 | 7.4.1-90080-1 o superior |
| DSM 7.3 | Anteriores a 7.3.2-86009-5 | 7.3.2-86009-5 o superior |
| DSM 7.2.2 | Anteriores a 7.2.2-72806-10 | 7.2.2-72806-10 o superior |
| DSM 7.2.1 | Anteriores a 7.2.1-69057-13 | 7.2.1-69057-13 o superior |
El aviso solo nombra esas cuatro ramas de DSM. Las notas oficiales fechan al menos 7.4.1-90080 Update 1, 7.3.2-86009 Update 5 y 7.2.1-69057 Update 13 el 12/10/2026; 7.2.2-72806 Update 10 no lleva fecha impresa en las páginas consultadas.
Descripción
Se ha publicado el aviso de seguridad Synology-SA-26:19, que corrige dos fallas en Synology DiskStation Manager (DSM). El aviso se hizo público el 10/11/2026 a las 06:06 (PYT). Este boletín se justifica por esa publicación de los identificadores, no porque las builds corregidas se hayan anunciado ese día.
La más grave es CVE-2026-76954, una inyección SQL en la Auth API. Según el proveedor, un atacante remoto sin credenciales puede leer o escribir archivos arbitrarios y provocar una denegación de servicio. El fabricante la califica con CVSS 3.1 9.8, crítica, y etiqueta el aviso en conjunto como Critical. La segunda, CVE-2026-85101, es un bypass de autenticación por un camino o canal alternativo en rsync, con CVSS 3.1 8.6, alta (el fabricante la clasifica como Important): permite leer archivos específicos, escribir archivos arbitrarios y una denegación de servicio limitada.
Están afectadas las ramas DSM 7.4, 7.3, 7.2.2 y 7.2.1 anteriores a las builds 7.4.1-90080-1, 7.3.2-86009-5, 7.2.2-72806-10 y 7.2.1-69057-13, respectivamente. El fabricante no enumera en este aviso otras familias o ramas. Las correcciones coinciden con nano actualizaciones que las notas fechan, en varias ramas, el 12/10/2026; en el servidor oficial de descargas, los paquetes de las cuatro builds ya figuraban entre el 30/09 y el 02/10/2026. Quienes ya las aplicaron pueden estar protegidos; conviene verificar la build exacta.
El fabricante no publicó una mitigación temporal (consta como ninguna) y no informa explotación. No se identificó una prueba de concepto pública. Estas fallas no figuran, al 11/11/2026, en catálogos de vulnerabilidades explotadas conocidas. Al cierre, los registros públicos de estas CVE permanecen reservados, sin ficha descriptiva; la fuente canónica es el aviso del fabricante. El mismo 10/11/2026, el aviso Synology-SA-26:18 corrige otras fallas de menor o distinta gravedad en DSM 7.4 y 7.3, con las mismas builds de esas dos ramas; este aviso se centra en SA-26:19.
Mitigación
Se recomienda inventariar los equipos Synology con DSM, anotar la rama y la build exacta, y actualizar a la versión corregida de la rama en uso, o a una posterior. Si el equipo no ofrece la actualización por sí solo, aplicarla de forma manual, como indican las notas del fabricante: el despliegue puede ser escalonado y el sistema puede considerar que no hace falta notificarla. La actualización reinicia el dispositivo. Quienes ya instalaron las nano actualizaciones de octubre deben confirmar que la build es al menos la indicada en el aviso.
El fabricante no publicó una solución alternativa. Mientras se actualiza, como medida general —no un procedimiento oficial del aviso—, conviene no exponer el NAS a Internet y restringir el acceso a la interfaz de DSM y a rsync a redes de administración de confianza. El parche no deshace un compromiso previo. El fabricante no publicó indicadores de compromiso.
Solución
La solución consiste en actualizar Synology DiskStation Manager a la build corregida de la rama en uso (7.4.1-90080-1, 7.3.2-86009-5, 7.2.2-72806-10 o 7.2.1-69057-13, o una posterior), en todos los equipos afectados.
Para info sobre cómo actualizar, visita el siguiente enlace:
https://www.synology.com/en-us/security/advisory/Synology_SA_26_19
Información adicional:
- Synology — aviso SA-26:19:
https://www.synology.com/en-us/security/advisory/Synology_SA_26_19 - Synology — aviso SA-26:18:
https://www.synology.com/en-us/security/advisory/Synology_SA_26_18 - Synology — notas de versión de DSM:
https://www.synology.com/en-global/releaseNote/DSM - Synology — notas de nano actualizaciones de DSM:
https://www.synology.com/en-us/releaseNote/DSM_NANO_UPDATE - CVE — CVE-2026-76954:
https://www.cve.org/CVERecord?id=CVE-2026-76954 - CVE — CVE-2026-85101:
https://www.cve.org/CVERecord?id=CVE-2026-85101