Hai lỗ hổng nghiêm trọng trên Synology NAS: kiểm tra đúng bản DSM để vá

Synology đã phát hành bản sửa cho hai lỗ hổng DSM có thể cho phép đọc, ghi tệp từ xa. Người dùng cần đối chiếu chính xác nhánh và build đang chạy với mốc vá tương ứng.

TekCafe 01:35, 12/11/2026 · 4 phút đọc

Tóm tắt nhanh

Synology công bố advisory SA-26:19 ngày 10/11/2026, vá hai lỗ hổng trong DiskStation Manager (DSM).
CVE-2026-76954 là SQL injection ở Auth API, mức Critical, CVSS 9.8; CVE-2026-85101 là lỗi bỏ qua xác thực trong rsync, mức Important, CVSS 8.6.
Build vá tối thiểu: DSM 7.4 — 7.4.1-90080-1; 7.3 — 7.3.2-86009-5; 7.2.2 — 7.2.2-72806-10; 7.2.1 — 7.2.1-69057-13.
Hãy kiểm tra nhánh và số build chính xác trên từng NAS, sau đó cập nhật lên mốc tương ứng hoặc mới hơn.

Synology phát hành bản vá cho hai lỗ hổng DSM có thể cho phép kẻ tấn công từ xa đọc hoặc ghi tệp trên NAS; một lỗi còn có thể gây gián đoạn dịch vụ. Advisory SA-26:19 được công bố ngày 10/11, nhưng mốc cần kiểm tra không phải ngày thông báo mà là build đang cài trên thiết bị.

Hai lỗi nằm ở hai thành phần khác nhau

Biểu trưng Synology nhận diện hãng đứng sau bản vá DSM trong advisory SA-26:19.

CVE-2026-76954 là lỗi SQL injection trong Auth API của DSM. Synology xếp lỗi này ở mức Critical, với điểm CVSS 3.1 là 9.8; mô tả của hãng cho biết kẻ tấn công từ xa có thể đọc hoặc ghi tệp tùy ý và gây từ chối dịch vụ.

CVE-2026-85101 lại nằm trong rsync, với cơ chế bỏ qua xác thực qua một đường truy cập thay thế. Synology xếp lỗi ở mức Important, CVSS 8.6; tác động được nêu gồm đọc một số tệp, ghi tệp tùy ý và gây từ chối dịch vụ ở mức giới hạn. Đây không phải hai cách gọi cho cùng một lỗi, nên không nên gộp mức độ hay tác động của chúng.

Advisory xác nhận lỗ hổng và bản sửa, không tuyên bố có khai thác thực tế. Vì vậy, việc cần làm là kiểm tra bản DSM và cập nhật, chứ không nên suy diễn rằng NAS đã bị xâm nhập.

Đối chiếu build vá theo đúng nhánh DSM

Synology liệt kê bốn nhánh trong advisory. Thiết bị chạy DSM 7.4 cần từ 7.4.1-90080-1; DSM 7.3 cần từ 7.3.2-86009-5; DSM 7.2.2 cần từ 7.2.2-72806-10; còn DSM 7.2.1 cần từ 7.2.1-69057-13. Các số này là ngưỡng tối thiểu của từng nhánh, không phải yêu cầu mọi NAS phải nâng lên DSM 7.4.

Mở giao diện DSM, xem phiên bản và build hiện tại, rồi so với dòng tương ứng. Nếu thấp hơn ngưỡng, cài bản cập nhật dành cho nhánh đó hoặc phiên bản mới hơn. Synology ghi không có biện pháp giảm thiểu thay thế trong advisory. Một số bản sửa dạng nano update đã xuất hiện trước ngày công bố advisory, nên NAS được cập nhật trước đó vẫn cần đối chiếu số build thay vì chỉ dựa vào thời điểm cập nhật.

Việc kiểm tra này đặc biệt hữu ích với NAS đặt ở nhà hoặc văn phòng nhỏ: nhiều người chỉ cập nhật khi DSM hiện thông báo, trong khi đợt triển khai có thể không cùng lúc trên mọi thiết bị. Nếu chưa thấy bản cập nhật, kiểm tra ghi chú phát hành của đúng nhánh và thực hiện cài thủ công theo hướng dẫn Synology; trong lúc xử lý, nên giới hạn quyền truy cập DSM và rsync vào mạng quản trị tin cậy.

Đừng nhầm SA-26:19 với các cảnh báo Synology khác

SA-26:19 nói về CVE-2026-76954 ở Auth API và CVE-2026-85101 ở rsync. Đây là bộ lỗi riêng, khác với các CVE trong SA-26:13 hồi tháng 9 và cảnh báo PHP2Shell SA-26:14. Những sự cố ransomware được bàn luận gần đây cũng không phải bằng chứng cho thấy hai CVE mới đã bị khai thác hoặc là nguyên nhân của một vụ xâm nhập cụ thể.

Bản vá khắc phục lỗ hổng phần mềm, nhưng không thể đảo ngược một sự cố đã xảy ra trước đó. Nếu NAS có dấu hiệu bất thường, cập nhật vẫn cần thiết nhưng không thay thế việc rà soát tài khoản, quyền truy cập và bản sao lưu.

Nguồn tham khảo: Synology SA-26:19; BeaconLab Alert 2026-157.