NAS Synology : deux failles critiques à corriger sans délai

Synology a publié le 18 septembre 2026 un bulletin de sécurité (Synology-SA-26:13) corrigeant plusieurs vulnérabilités de DSM, le système qui fait tourner ses NAS. Le CERT-FR a repris ces correctifs dans son avis CERTFR-2026-AVI-1209 du 21 septembre, puis les a classés parmi les vulnérabilités critiques de la semaine dans son bulletin d’actualité du 28 septembre. Deux d’entre elles portent un score CVSS de 9,8 sur 10 : CVE-2026-13639, qui vient d’une génération de jetons d’authentification insuffisamment aléatoire, et CVE-2026-13684, liée au traitement des requêtes SCGI. Dans les deux cas, l’attaquant n’a besoin d’aucun identifiant valide.

Pourquoi cela concerne votre entreprise

Un NAS est souvent perçu comme un disque dur partagé un peu gros. C’est en réalité un serveur, avec son système d’exploitation, ses services réseau et son interface web d’administration. Et c’est fréquemment la machine qui concentre le plus de valeur dans une PME : les dossiers clients, la comptabilité, les plans, et très souvent les sauvegardes elles-mêmes. Une faille qui permet d’écrire des fichiers arbitraires sans authentification vise donc à la fois vos données et le filet de sécurité censé les récupérer. Le CERT-FR ne signalait pas d’exploitation active au moment de la publication de son avis, mais les équipements de stockage exposés sur Internet sont scannés en permanence, et un score de 9,8 attire l’attention.

Ce qu’il faut vérifier

Trois points, dans cet ordre. D’abord la version de DSM : les correctifs sont 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 et 7.4-90075 selon la branche installée. Toute version antérieure est concernée. Ensuite l’exposition : l’interface d’administration du NAS n’a pas à être accessible depuis Internet. Si un accès distant est nécessaire, il passe par un VPN, pas par une redirection de port ni par un identifiant public devinable. Enfin la sauvegarde : si votre seule copie de sauvegarde est sur le NAS, vous n’avez pas de sauvegarde — vous avez une deuxième cible. Une copie hors du site, déconnectée ou immuable, est ce qui fait la différence le jour d’un incident.

Sur ce type de sujet, l’intervention de WizCo-IT est concrète : recenser les NAS présents chez le client et leur version de DSM, appliquer la mise à jour dans une fenêtre validée avec vous, vérifier sur le pare-feu qu’aucune interface d’administration ne sort sur Internet, et contrôler que la sauvegarde comporte bien une copie indépendante du NAS. Un parc de 10 à 100 postes se vérifie en une demi-journée. Si vous ne savez pas quelle version de DSM tourne chez vous, c’est déjà une réponse en soi.