Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans Synology DSM

Gestion du document

Référence	CERTFR-2026-AVI-0491
Titre	Multiples vulnérabilités dans Synology DSM
Date de la première version	24 avril 2026
Date de la dernière version	24 avril 2026
Source(s)	Bulletin de sécurité Synology Synology_SA_26_06 du 15 avril 2026 Bulletin de sécurité Synology Synology_SA_26_07 du 15 avril 2026

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à l'intégrité des données
Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Déni de service à distance
Falsification de requêtes côté serveur (SSRF)
Injection de code indirecte à distance (XSS)
Injection SQL (SQLi)

Systèmes affectés

DSM versions 7.2.1-x antérieures à 7.2.1-69057-10
DSM versions 7.2.2-x antérieures à 7.2.2-72806-7
DSM versions 7.3.2-x antérieures à 7.3.2-86009-2

Résumé

De multiples vulnérabilités ont été découvertes dans Synology DSM. Certaines d'entre elles permettent à un attaquant de provoquer un déni de service à distance, une atteinte à la confidentialité des données et une atteinte à l'intégrité des données.

Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité Synology Synology_SA_26_06 du 15 avril 2026
https://www.synology.com/en-global/security/advisory/Synology_SA_26_06
Bulletin de sécurité Synology Synology_SA_26_07 du 15 avril 2026
https://www.synology.com/en-global/security/advisory/Synology_SA_26_07
Référence CVE CVE-2026-4036
https://www.cve.org/CVERecord?id=CVE-2026-4036
Référence CVE CVE-2026-40530
https://www.cve.org/CVERecord?id=CVE-2026-40530
Référence CVE CVE-2026-40531
https://www.cve.org/CVERecord?id=CVE-2026-40531
Référence CVE CVE-2026-40532
https://www.cve.org/CVERecord?id=CVE-2026-40532
Référence CVE CVE-2026-40533
https://www.cve.org/CVERecord?id=CVE-2026-40533
Référence CVE CVE-2026-40534
https://www.cve.org/CVERecord?id=CVE-2026-40534
Référence CVE CVE-2026-40535
https://www.cve.org/CVERecord?id=CVE-2026-40535
Référence CVE CVE-2026-40536
https://www.cve.org/CVERecord?id=CVE-2026-40536
Référence CVE CVE-2026-40537
https://www.cve.org/CVERecord?id=CVE-2026-40537
Référence CVE CVE-2026-40538
https://www.cve.org/CVERecord?id=CVE-2026-40538
Référence CVE CVE-2026-40539
https://www.cve.org/CVERecord?id=CVE-2026-40539
Référence CVE CVE-2026-40540
https://www.cve.org/CVERecord?id=CVE-2026-40540

Gestion détaillée du document

Date	Description
24 avril 2026	Version initiale