Wer ein Synology-NAS besitzt, sollte jetzt kurz ins Kontrollzentrum schauen: Der Hersteller hat im Advisory Synology_SA_26_13 acht Sicherheitslücken in seinem Betriebssystem DSM geschlossen, zwei davon mit dem höchstmöglichen Schweregrad. Angreifer konnten dafür ganz ohne Anmeldung übers Netzwerk auf euer Gerät zugreifen.

Was die Lücken erlauben

Die beiden kritischen Fehler CVE-2026-13684 und CVE-2026-13639 erreichen jeweils einen CVSS-Wert von 9.8. Der erste steckt in einem fehlerhaften Encoding der Schnittstelle SCGI, der zweite in zu wenig Zufälligkeit bei der Login-Logik. Beide lassen sich laut Synology aus der Ferne ausnutzen, ohne dass sich Angreifer vorher einloggen müssen – sie können damit beliebige Dateien auf dem NAS lesen oder schreiben und das Gerät per Denial-of-Service lahmlegen. Sechs weitere, weniger kritische Lücken betreffen unter anderem die LDAP- und Upload-API sowie eine SQL-Injection im EventScheduler, sind aber nur nach vorheriger Anmeldung ausnutzbar.

Betroffen sind alle noch unterstützten DSM-Versionen: 7.4, 7.3.2, 7.2.2 und 7.2.1. Die Updates auf 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 beziehungsweise 7.2.1-69057-12 gibt es über Systemsteuerung → Aktualisieren und Wiederherstellen, das NAS startet dabei einmal neu.

Keine Übergangslösung

Eine Ausweichmöglichkeit für Nutzer, die nicht sofort patchen können, nennt Synology nicht. Wer das Update nicht zeitnah einspielt, soll das NAS laut Advisory vorübergehend komplett vom Netz trennen. Aktive Angriffe sind derzeit nicht bekannt, ein öffentlicher Exploit-Code kursiert nach aktuellem Stand ebenfalls nicht.

Ehrlich gesagt ist das genau die Art Lücke, die NAS-Besitzer am meisten fürchten sollten: kein Login nötig, voller Dateizugriff, und viele Synology-Boxen hängen ungeschützt mit Portfreigaben im Netz. Ähnlich unangenehm waren zuletzt die Sicherheitslücken in TeamViewer – auch dort half nur zügiges Patchen. Zehn Minuten Update-Check sind hier gut investierte Zeit.