- Synology avisa que sus NAS pueden infectarse con ransomware: actualiza ya DSM
- TrueNAS lanza una actualización crítica: es vital que la instales hoy en tu servidor
Synology ha publicado el aviso de seguridad Synology_SA_26_19 para corregir dos vulnerabilidades críticas en DiskStation Manager (DSM), el sistema operativo que usan sus servidores NAS. Los fallos permiten a un atacante remoto leer y escribir archivos arbitrarios sin necesidad de iniciar sesión, además de provocar denegaciones de servicio. A continuación repasamos qué versiones de DSM quedan expuestas, qué implica este tipo de acceso y los pasos para instalar la actualización cuanto antes.
Un NAS doméstico o de pyme suele concentrar copias de seguridad, documentos de clientes y fotografías familiares en un único punto. Que el fallo resida precisamente en el sistema de inicio de sesión es el escenario más temido por cualquier administrador: implica saltarse por completo la autenticación. Synology califica la gravedad como crítica y otorga a la vulnerabilidad principal una puntuación CVSS de 9.8 sobre 10, la nota más alta que puede recibir un fallo de este tipo. El fabricante ya ha liberado las actualizaciones correspondientes, aunque el tiempo que tardes en instalarlas es la ventana en la que tu equipo queda más expuesto.
Qué fallos críticos corrige el aviso Synology_SA_26_19
El aviso oficial Synology_SA_26_19, publicado el 10 de noviembre de 2026, detalla dos vulnerabilidades en DSM. La primera, catalogada como CVE-2026-76954, es una inyección SQL en la API de autenticación, descrita por Synology como una «neutralización incorrecta de elementos especiales utilizados en un comando SQL». El fallo permite a un atacante remoto leer o escribir archivos arbitrarios y provocar denegaciones de servicio, sin necesidad de credenciales.
La segunda, CVE-2026-85101, afecta al servicio rsync y recibe la calificación de importante, con una puntuación CVSS de 8.6. Se trata de una «omisión de autenticación mediante una ruta o canal alternativo», que permite leer archivos específicos, escribir otros de forma arbitraria y provocar denegaciones de servicio limitadas. El hallazgo lleva la firma de Nguyễn Bá Nam Dũng y Hà Thế Long, investigadores del Viettel Cyber Security Research Lab, junto con Warisse Valentin, de Aytio.
Qué versiones de DSM están afectadas y cómo corregirlas
El problema no afecta a un modelo concreto de hardware, sino al núcleo del sistema operativo que monta la mayoría de los NAS de la marca. Cualquier equipo que ejecute una de las cuatro ramas principales de DSM sin el parche más reciente sigue siendo vulnerable a día de hoy. El aviso confirma la exposición en estas versiones:
- DSM 7.4
- DSM 7.3
- DSM 7.2.2
- DSM 7.2.1
Synology ya ha publicado la compilación mínima que cierra la brecha en cada rama: la 7.4 debe actualizarse a 7.4.1-90080-1 o superior, la 7.3 a 7.3.2-86009-5 o superior, la 7.2.2 a 7.2.2-72806-10 o superior y la 7.2.1 a 7.2.1-69057-13 o superior. En el apartado dedicado a mitigaciones, el propio aviso se limita a decir «None» (ninguna): Synology no ofrece ninguna configuración alternativa que reduzca el riesgo mientras tanto, por lo que la única vía para proteger el equipo es instalar la actualización correspondiente.
Qué puede hacer un atacante con estas vulnerabilidades
El vector de ataque viaja por la red, no exige privilegios previos y no necesita que la víctima haga nada: basta con conocer la dirección IP o el dominio de acceso del NAS para intentar explotarlo. Al tratarse de fallos en la autenticación, el atacante se salta directamente el inicio de sesión.
Una vez dentro, el aviso oficial describe un abanico concreto: leer o escribir archivos arbitrarios a través de la API de autenticación (CVE-2026-76954), o leer archivos específicos y escribir otros de forma arbitraria aprovechando el servicio rsync (CVE-2026-85101). Ambos fallos permiten además provocar una denegación de servicio, es decir, dejar el NAS sin funcionar mientras dura el ataque. En RedesZone siempre hemos recomendado no exponer el NAS directamente a internet, pero si tienes activado QuickConnect o puertos abiertos en el router, el riesgo de sufrir un intento automatizado es inmediato.
Cómo comprobar si tu NAS está afectado y qué hacer si no puedes actualizar ya
Accede a tu DSM y entra en el Panel de Control. Dentro del apartado Actualizar y restaurar verás la versión exacta que tiene instalada tu equipo en este momento. Si la cifra que aparece es inferior a la compilación corregida de tu rama, el propio sistema te avisará de que hay una actualización de seguridad disponible: descárgala e instálala sin demora. Antes de reiniciar, comprueba que tus volúmenes de almacenamiento están en buen estado, y una vez completado el reinicio vuelve al mismo menú para confirmar que la nueva versión ha quedado activa.
Synology no ofrece mitigaciones oficiales para estos dos fallos, así que si por motivos técnicos no puedes aplicar el parche de inmediato, la opción que queda es aislar el equipo mientras tanto. Desactiva cualquier servicio de acceso remoto, incluido QuickConnect, y corta la conexión del NAS a internet desde el router o el firewall, dejando su acceso restringido a la red local. Revisa también qué servicios tienes abiertos y cierra los que no utilices, en particular los vinculados a rsync o a los puertos web expuestos. Reducir así la superficie de ataque es la única defensa disponible hasta que instales la actualización.
Un aviso que vuelve a poner a prueba la seguridad de los NAS de Synology
Un NAS no es un disco duro más conectado a la red: en él puede estar el historial clínico de una consulta, los proyectos de un estudio de arquitectura o las fotografías de toda una familia. Que una inyección SQL rompa la primera línea de defensa, el propio sistema de login, deja ese contenido al alcance de cualquiera que sepa dónde buscar, y que un segundo fallo salte la autenticación del servicio rsync multiplica las puertas de entrada disponibles para un mismo ataque.
Los escáneres automatizados de vulnerabilidades empiezan a rastrear estos dos CVE en cuanto se hace público un aviso como este, así que el margen entre el 10 de noviembre, fecha de publicación, y el momento en que cada usuario actualiza su equipo es el que determina si el ataque llega a tiempo. Con una puntuación de 9.8 sobre 10 para la inyección SQL y de 8.6 para el fallo de rsync, y sin ninguna mitigación alternativa sobre la mesa, instalar las compilaciones 7.4.1-90080-1, 7.3.2-86009-5, 7.2.2-72806-10 o 7.2.1-69057-13 deja de ser una recomendación para convertirse en la única opción real.