Il tuo NAS Synology è in pericolo: due falle critiche consentono a tutti di accedere ai file, senza password. Patch già disponibile (aggiornato: 19 settembre 2026, ore 09:01)

Due vulnerabilità con gravità 9.8 su 10, sfruttabili da remoto senza credenziali e senza alcuna interazione dell'utente, su un dispositivo che per definizione custodisce i backup di casa e dell'ufficio. È questo il nocciolo dell'ultima tornata di correzioni per DiskStation Manager (DSM), il sistema operativo dei NAS Synology: otto vulnerabilità chiuse in un colpo solo, con un bollettino classificato complessivamente come critico. Chi amministra un NAS raggiungibile da Internet ha un compito solo, ed è aggiornare.

La ripartizione per gravità parla di due falle critiche, due di livello alto, due medie e due basse. Non risultano sfruttamenti attivi, né proof of concept pubblici in circolazione: una finestra di respiro, non un'assoluzione.

9.8 su 10: due falle che non chiedono la password

La prima è CVE-2026-13684, un problema di codifica ed escape dell'output nel componente SCGI di DSM. Un aggressore remoto, senza autenticarsi, può leggere o scrivere file arbitrari sul sistema e provocare condizioni di denial-of-service. Tradotto: accesso ai dati archiviati e possibilità di mettere fuori uso il dispositivo.

La seconda è CVE-2026-13639, una vulnerabilità di entropia insufficiente nella logica di login. Gli effetti dichiarati sono gli stessi: lettura e scrittura di file arbitrari e denial-of-service, sempre senza credenziali. Entrambe pesano 9.8/10 sulla scala CVSSv3, il punteggio che si assegna quando mancano tutte le barriere: niente autenticazione, niente interazione della vittima, attacco dalla rete.

La combinazione è quella che rende i NAS un bersaglio storicamente ghiotto. Il dispositivo è spesso pubblicato su Internet per comodità di accesso remoto, resta acceso ventiquattr'ore su ventiquattro e contiene esattamente ciò che interessa a chi attacca: documenti, backup, archivi aziendali.

LDAP, Upload API e Auth API: le altre falle

Sul gradino successivo c'è CVE-2026-13673, valutata 8.8: un'assegnazione errata dei permessi su una risorsa critica nell'API LDAP. Qui l'autenticazione serve, ma un utente già registrato può leggere o scrivere file arbitrari e causare denial-of-service. Sempre lato utenti autenticati, CVE-2026-6205 riguarda la scrittura di file tramite l'API Upload.

Di gravità media, CVE-2026-13635 colpisce l'API Auth con un altro difetto di codifica ed escape dell'output: punteggio 5.3, nessuna autenticazione richiesta, ma l'impatto si ferma alla divulgazione di informazioni non sensibili. Completano il quadro una falla di CRLF injection e due problemi - cross-site scripting e SQL injection - sfruttabili soltanto da chi dispone già di privilegi amministrativi.

Le versioni da installare, ramo per ramo

I rami interessati sono DSM 7.2.1, 7.2.2, 7.3 e 7.4. Le versioni vulnerabili sono quelle precedenti a 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 e 7.4-90075. L'aggiornamento va scelto in base al ramo effettivamente in uso sul proprio NAS:

• DSM 7.4: aggiornare a 7.4-90075 o successiva
• DSM 7.3: aggiornare a 7.3.2-86009-4 o successiva
• DSM 7.2.2: aggiornare a 7.2.2-72806-9 o successiva
• DSM 7.2.1: aggiornare a 7.2.1-69057-12 o successiva

Non esiste alcuna mitigazione alternativa: nessun workaround, nessuna configurazione che neutralizzi le due falle critiche lasciando il sistema operativo com'è. L'unica strada è la patch.

Cosa fare se il NAS è esposto su Internet

Oltre all'aggiornamento, valgono le due raccomandazioni di igiene che in casi come questo fanno la differenza tra un incidente e un mancato incidente: ridurre al minimo l'esposizione del NAS su Internet e limitare l'accesso amministrativo. Un dispositivo raggiungibile solo dalla rete locale o tramite VPN sposta il perimetro dell'attacco molto più indietro, e trasforma una falla 9.8 sfruttabile dall'esterno in un problema che richiede prima un piede dentro la rete.

Chi ha lasciato l'aggiornamento automatico disattivato per timore di regressioni si trova ora davanti al conto: due vulnerabilità che permettono di scrivere file arbitrari senza password sono esattamente il tipo di appiglio che i gruppi ransomware specializzati in NAS hanno già sfruttato in passato. L'assenza di exploit pubblici, oggi, non è una garanzia per domani.

Fonti: synology.com