Retrospetiva de 2026-09-21, elaborada em 27 de outubro de 2026. A data identifica o dia analisado; as datas de publicação e revisão das fontes constam abaixo.
O que este aviso altera no seu ambiente
O ponto de partida é CERTFR-2026-AVI-1209, publicado em 2026-09-21. O âmbito inclui DSM. As consequências indicadas são negação de serviço, injeção de scripts XSS, execução remota de código, alteração de dados, injeção SQL, impacto a esclarecer pelo fornecedor, evasão de controlos de segurança, perda de confidencialidade. Aplicam-se ao âmbito do aviso; não se atribui cada consequência a cada produto ou CVE.
Este caso concentra-se em DSM. Localize essa edição nas instalações ativas, imagens e dependências efetivas, sem considerar equivalentes todos os produtos de Synology.
Produtos e versões a examinar
- Referência
- CERTFR-2026-AVI-1209
- Primeira publicação da fonte
- 2026-09-21
- Última revisão disponível para este dia
- 2026-09-21
- Componentes citados
- DSM
- Identificadores CVE
- CVE-2026-13639, CVE-2026-6205, CVE-2026-13683, CVE-2026-13666, CVE-2026-13623, CVE-2026-13635, CVE-2026-13673, CVE-2026-13684
| Componente | Condição publicada |
|---|---|
| DSM | 7.2.2 : < 7.2.2-72806-9 |
| DSM | 7.4.x : < 7.4-90075 |
| DSM | 7.3 : < 7.3.2-86009-4 |
| DSM | 7.2.1 : < 7.2.1-69057-12 |
Para DSM, a condição publicada é «7.2.2 : < 7.2.2-72806-9». Compare a versão efetivamente carregada dentro do seu próprio ramo. Uma correção noutra edição de DSM não encerra este caso.
Mecanismo e pré-requisitos
A injeção SQL mistura dados e instruções. Verifique consultas parametrizadas, privilégios da conta da base de dados e registos; não precisa de uma carga destrutiva para demonstrar exposição.
A ficha primária CVE-2026-13639, publicada por synology, abrange DiskStation Manager (DSM). A revisão utilizada é de 2026-09-18. Este âmbito é separado das integrações e agrupamentos do aviso CERTFR-2026-AVI-1209.
A métrica publicada para CVE-2026-13639 é CVSS 3.1, 9.8/10. O vetor descreve pré-requisitos técnicos; não mede a frequência dos ataques nem a probabilidade de comprometimento da instalação.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- Vetor de ataque
- rede
- Privilégios prévios
- nenhum
- Interação do utilizador
- nenhum
- Complexidade
- baixo
- Fraqueza
- CWE-331
Escolher a intervenção adequada
- Localize instâncias de DSM, versões em execução e responsáveis. Registe a condição 7.2.2 : < 7.2.2-72806-9 juntamente com CERTFR-2026-AVI-1209.
- Compare o ramo instalado com as notas do fornecedor de DSM. Prepare o pacote desse ramo e um teste do serviço dependente, conservando o estado inicial.
- Após a alteração de DSM, volte a recolher a versão carregada e teste o percurso indicado. Cada exceção exige responsável, redução da exposição e prazo.
Verificar a correção num percurso real
Cenário de verificação a adaptar a DSM: Para DSM, restaure dados sintéticos num ambiente isolado e compare com uma referência. Verifique separadamente administração e restauro; uma cópia concluída não demonstra recuperação do serviço. É uma proposta defensiva, não uma afirmação de testes realizados em sistemas de terceiros.
Limite de CERTFR-2026-AVI-1209: esta análise não substitui os pré-requisitos do fornecedor nem a investigação dos registos. Só são reproduzidas versões documentadas; não se inventam datas de ataques ou vítimas.
Perguntas específicas do caso
Que condição verificar para DSM?
CERTFR-2026-AVI-1209 indica DSM — 7.2.2 : < 7.2.2-72806-9. Confirme edição e versão ativa; não estenda o limite a ramos ausentes do aviso.
Que pré-requisitos especifica a ficha CVE-2026-13639?
Para CVE-2026-13639, o vetor publicado é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Verifique essas condições em DiskStation Manager (DSM) antes de as aplicar a uma integração citada em CERTFR-2026-AVI-1209.
Fontes e leituras relacionadas
Guia prático : Teste a restauração de um backup a partir de uma cópia para um serviço em funcionamento.
Aprofundar a decisão deste caso
- Veeam ONE, Veeam Backup & Replication: restabelecer controlos de acesso
- ONTAP 9 (formerly Clustered Data ONTAP): verificar a integridade dos dados
Inventário completo do aviso original
A tabela do artigo pode ser um excerto. Estas listas incluem todas as entradas de sistemas afetados e CVE da revisão indicada. Não inventariam os seus ativos nem associam cada CVE a cada produto.
Fonte oficial · CERTFR-2026-AVI-1209
Revisão do aviso : · Verificado em :
Sistemas afetados · 4
Mantém-se o texto francês original para evitar traduções ambíguas das condições de versão.
- DSM versions 7.2.2 antérieures à 7.2.2-72806-9
- DSM versions 7.4.x antérieures à 7.4-90075
- DSM versions 7.3 antérieures à 7.3.2-86009-4
- DSM versions 7.2.1 antérieures à 7.2.1-69057-12