Synology, ağa bağlı depolama (NAS) cihazlarının işletim sistemi DiskStation Manager (DSM) üzerinde iki güvenlik açığını 10 Kasım 2026 tarihli, önem derecesi kritik Synology-SA-26:19 bildirimiyle kapattı. Synology bildirimine göre geçici bir önlem bulunmuyor; açıkların saldırılarda kullanıldığına dair bilgi verilmedi.
Açıklar ne yapıyor
Kritik dereceli ve 9,8 CVSS puanlı CVE-2026-76954, DSM'nin kimlik doğrulama arayüzünde (Auth API) yer alan bir SQL enjeksiyonu açığı olarak tanımlandı. Bu açık, uzaktaki bir saldırganın oturum açmadan istediği dosyayı okumasına ya da yazmasına ve cihazı hizmet dışı bırakmasına izin veriyor.
Bildirimdeki 8,6 CVSS puanlı CVE-2026-85101 ise rsync hizmetinde kimlik doğrulama atlatma sorununa dayanıyor. Uzaktaki saldırgan belirli dosyaları okuyup istediği dosyayı yazabiliyor ve sınırlı kesinti yaratabiliyor.
Hangi sürümler düzeltildi
Synology'ye göre açıklar DSM 7.4 için 7.4.1-90080-1, DSM 7.3 için 7.3.2-86009-5, DSM 7.2.2 için 7.2.2-72806-10 ve DSM 7.2.1 için 7.2.1-69057-13 veya üstü sürümlerde düzeltildi.
Neden önemli
The Hacker News, 3 Kasım 2026'da güncellenmemiş DSM sürümlerindeki eski açıkları kullanan C3RB3R fidye yazılımı saldırılarını haberleştirdi.
Türkiye açısından
Açıklar uzaktan ve oturum açmadan kullanılabildiği için ağa açık NAS cihazları risk altında bulunuyor; Synology'ye göre tek çözüm düzeltilmiş sürüme geçmek.
Kaynaklar
- Synology, Synology-SA-26:19 DSM, 10 Kasım 2026
- The Hacker News, Synology NAS ransomware attacks, 3 Kasım 2026
Kapak görseli: «Synology Disk Station DS223J - NAS-Server», DYVER, Wikimedia Commons, CC BY-SA 4.0 (kırpıldı, 1200x675).
