Synology DSM の脆弱性 CVE-2026-76954（Auth API SQLインジェクション）の影響確認と対処手順

2026年11月10日、Synology は NAS 向け OS「DSM（DiskStation Manager）」のセキュリティアドバイザリ Synology-SA-26:19 を公開した。認証 API の SQL インジェクション CVE-2026-76954（CVSS 3.1 で 9.8、重大度 Critical）と、rsync の認証回避 CVE-2026-85101（同 8.6）の2件が、DSM 7.4・7.3・7.2.2・7.2.1 の修正版で同時に直された。 Synology は回避策（緩和策）を「なし」と明記しており、対処はアップデートのみである。

本記事は2026年11月13日時点の Synology のアドバイザリ（英語版・日本語版）、CVE.org の CVE レコード、NVD、CISA の KEV カタログに基づく。確認できなかった点は「確認できていない」「未公表」と書き、推測では埋めていない。同日分の他の脆弱性は11月13日の脆弱性まとめにまとめている。

- 何が起きたか: DSM の Auth API に SQL インジェクション（CVE-2026-76954）があり、リモートの攻撃者が任意のファイルの読み書きとサービス拒否（DoS）を起こせる。CVSS ベクターは AV:N/AC:L/PR:N/UI:N で、ネットワーク経由・認証不要・利用者の操作不要。さらに rsync の認証回避（CVE-2026-85101）では、特定ファイルの読み取り・任意ファイルの書き込み・限定的な DoS が起こせる。
- 誰が対象か: DSM 7.4・7.3・7.2.2・7.2.1 のうち、修正版より古い版。修正版は 7.4.1-90080-1 以上、7.3.2-86009-5 以上、7.2.2-72806-10 以上、7.2.1-69057-13 以上。
- 今日やること: ①NAS の DSM のバージョンを確認し、②修正版へ更新して再起動し、③更新できるまでの間は NAS をインターネットから見えない状態にする。なお、Synology のアドバイザリに悪用の記載はなく、CISA の KEV カタログにも本記事の確認時点で載っていない。

Synology のアドバイザリでは、2件とも同じ版数が影響範囲・修正版として示されている。表の「修正版」より古い版を使っている場合は更新が必要である。

また、本アドバイザリは製品として DSM のみを挙げている。BeeStation や DSM UC など他の Synology 製品が対象かどうかは、本アドバイザリには書かれていない。該当する製品を使っている場合は、Synology のセキュリティアドバイザリの一覧で、それぞれの製品向けの案内を確認してほしい。

NAS にログインするとき、DSM は内部の「Auth API」（認証を扱う窓口）で、利用者名やパスワードなどの情報を確認している。裏側ではデータベースへの問い合わせ文（SQL）が作られるが、入力された文字列に含まれる特殊な記号を適切に無害化しないと、攻撃者が問い合わせ文そのものを書き換えられてしまう。これが SQL インジェクション（CWE-89）である。入口の受付係が、書類に書かれた余計な指示までそのまま実行してしまう状態と考えるとよい。

Synology は、この欠陥により「リモートの攻撃者が任意のファイルを読み書きでき、DoS 攻撃もできる」と説明している。CVSS 3.1 のベクターは CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H で、攻撃に認証も利用者の操作も要らず、機密性・完全性・可用性のすべてに高い影響があるという評価である。NAS には社内のファイルが集まるため、任意のファイルを読み書きされることは、情報漏えいと改ざんの両方につながり得る。

rsync は、ファイルを効率よく同期・コピーするための仕組みで、NAS 同士のバックアップや、パソコンからの同期などに使われる。DSM にも rsync サービスが組み込まれている。CVE-2026-85101 は、この rsync で、本来は通れないはずの認証を迂回できる「代替の経路・チャネル」がある、という欠陥（CWE-288）である。

Synology によれば、リモートの攻撃者が特定のファイルを読み取り、任意のファイルを書き込み、限定的な DoS を起こせる。CVSS 3.1 は 8.6（ベクター CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:L）で、こちらも認証不要である。読み取れるファイルは「特定のもの」とされるが、どのファイルかは公表されていない。

スコアは Synology（CNA）が付けたものである。NVD の記録は、2026年11月12日に登録されたが、状態は「Awaiting Analysis（分析待ち）」で、NVD 独自の評価はまだ付いていない。

悪用状況については、Synology のアドバイザリに悪用への言及はない。CISA の KEV（悪用が確認された脆弱性）カタログのデータで CVE-2026-76954 と CVE-2026-85101 を検索したが、2026年11月13日時点でどちらも載っていなかった。ただし、これは「悪用されていない」ことの証明ではない。認証不要でネットワーク経由という性質上、修正版の公開後は、差分から攻撃手法が調べられる可能性があるので、早めの更新が望ましい。この状況は変わり得るため、KEV や Synology の情報を継続して確認したい。

管理画面で、メニューから「コントロールパネル」を開き、「情報センター」の「一般」タブで DSM のバージョンを確認する。「DSM 7.3.2-86009 Update 4」のように、ハイフン以降のビルド番号と、末尾の Update 番号まで読むのが重要である。アドバイザリの修正版は「7.3.2-86009-5」のようにハイフンの後ろにも数字が付いており、これは Update 番号に当たると考えられる。「7.3.2-86009 Update 4」なら修正版（-5）より古い、ということになる。

なお、メニュー名や表示は DSM の版や言語設定で異なる場合があり、Synology 公式ナレッジの該当ページ本文は取得できなかったため、画面の名称は DSM 7 の一般的な構成に基づく。

SSH を有効にしている場合は、次のコマンドでも版数を確認できる。Synology コミュニティの投稿などで一般的な方法として紹介されているもので、Synology 公式のナレッジでは確認できていない。majorversion・minorversion・buildnumber・smallfixnumber の各値が表示され、smallfixnumber が Update 番号に当たる。

- ルーターでポート開放（ポートフォワーディング）をして、NAS の管理画面（既定では 5000 番・5001 番）や rsync（既定では 873 番）を外に出していないか
- QuickConnect（Synology の中継サービス）を有効にしていないか
- 外部からファイルを使うために、DDNS（外部から NAS に名前でつなぐ仕組み）を設定していないか
- NAS の rsync サービスを使っているか。使っていないなら有効にする理由がない

更新は今後の侵入を防ぐ対策であり、すでに起きたことは消せない。認証不要で任意のファイルを読み書きされ得る脆弱性なので、更新の前後で、次のような点を見ておく。ただし、Synology は侵害の有無を調べるための具体的な指標（IOC）を公表していない。そのため、以下は一般的な観点である。

- 管理画面のログ（コントロールパネルのログセンター）に、心当たりのないログインやエラーの急増がないか
- 共有フォルダに、見覚えのないファイルや、更新日時が不自然に新しいファイル、拡張子が変わったファイルがないか
- NAS の負荷や再起動が、理由なく増えていないか
- 外部への大量の通信がないか（ルーターやファイアウォールのログがある場合）

どの系統でも共通する準備を先に述べる。更新の前に、NAS の中の大事なデータが別の場所にもバックアップされていることを確認する。更新は再起動を伴い、その間はファイルが使えなくなるため、利用の少ない時間帯に行い、社内に周知する。更新後は、ファイル共有とバックアップの動作を確認する。

更新の画面は、DSM のメニューの「コントロールパネル」から「更新と復元」を開き、「DSM の更新」で新しい版が表示されたら、画面の案内に従ってダウンロード・インストールする、というのが一般的な流れである。一方、更新の候補が表示されない場合や、すぐには自動で出てこない場合は、Synology のダウンロードセンターから、機種に合った更新ファイル（拡張子 .pat）を取得し、「更新と復元」の「手動 DSM 更新」から適用する方法がある。.pat ファイルは、必ず Synology の公式サイトから、自分の機種用のものを取得する。

7.4.1-90080-1 以上へ更新する。更新後、「情報センター」で版数を確認する。

7.3.2-86009-5 以上へ更新する。更新後は、「情報センター」で 7.3.2-86009 Update 5 以上になっていることを確認する。

7.2.2 は 7.2.2-72806-10 以上、7.2.1 は 7.2.1-69057-13 以上が修正版である。7.2 系の機器が、より新しい 7.3 や 7.4 へ上げられるかどうかは、機種ごとに異なり、アドバイザリには書かれていない。画面に表示される更新、または Synology のダウンロードセンターで、自分の機種に対して提供されている版を確認してほしい。修正版が自分の機種向けに提供されているかどうかは、本記事では確認できていない。

今回のような重大な脆弱性への対応を遅らせないために、「更新と復元」の更新設定（「DSM の更新設定」）で、重要な更新の自動インストールを有効にするかどうかを検討する。自動で再起動が入るため、業務時間外にスケジュールできるかを確認し、止まっても困らない時間帯を選ぶ。更新の仕組みの作り方はパッチ・アップデート管理の始め方も参照してほしい。

Synology は、2件とも緩和策を「なし」と明記している。 設定を変えるだけで、2件の脆弱性を確実にふさぐ公式の方法はない。以下は公式の緩和策ではなく、被害を小さくするための一般的な露出削減策である。更新までの時間稼ぎとして使い、更新の代わりにはならない。

- NAS をインターネットから見えなくする（一般的な対策）: ルーターのポート開放を止め、管理画面や rsync を外へ出さない。QuickConnect や DDNS を使っている場合は、更新が終わるまで止められないか検討する。
- 管理画面への接続元を絞る（一般的な対策）: DSM のファイアウォール機能や、ルーター・UTM 側の設定で、NAS に接続できる機器を社内のアドレスや VPN 経由に限定する。
- rsync サービスを使っていなければ無効にする（一般的な対策）: 「コントロールパネル」の「ファイルサービス」にある rsync の設定で、使っていないなら無効にする。ただし、バックアップなどで rsync を使っている場合は、止めるとジョブが失敗する。また、これで CVE-2026-85101 が確実にふさがるのか、CVE-2026-76954 に効くのかは、Synology は述べていないため、確認できていない。
- SSH など不要なサービスを止める（一般的な対策）: 使っていないサービスは無効にして、攻撃を受ける入口を減らす。
- バックアップを確実にする（一般的な対策）: 任意のファイルを書き換えられるおそれがあるため、NAS の外にもバックアップを持ち、バックアップ先が NAS から常時書き込める状態になっていないかを確認する。ランサムウェアへの備えはランサムウェア対策の基本に整理している。

そもそも NAS の更新や運用を誰が担うかが決まっていない会社では、機器の選び方や運用の設計から見直すことも考えられる。費用感はNAS・ファイルサーバーの費用と選び方を参照してほしい。

1. 社内にある Synology の NAS をすべて洗い出す（機種名・設置場所・担当者）。
2. 各 NAS の DSM のバージョンを「情報センター」で確認し、記録する。
3. 修正版（7.4.1-90080-1／7.3.2-86009-5／7.2.2-72806-10／7.2.1-69057-13 以上）より古い NAS を一覧にする。
4. 更新前に、大事なデータが別の場所にバックアップされているか確認する。
5. 更新の日時を決めて社内に周知し、DSM を更新する（再起動を伴う）。
6. 更新後、版数、ファイル共有、バックアップジョブの動作を確認する。
7. NAS がインターネットから見えていないか（ポート開放、QuickConnect、DDNS）を確認し、不要なら止める。
8. 使っていない rsync・SSH などのサービスを無効にする。
9. 共有フォルダやログに不審な形跡がないかを確認する。
10. 7.2.1 より古い版や、修正版が出ていない機種は、Synology のサポート情報を確認し、入れ替えの計画を立てる。

- Synology-SA-26:19（英語版）: https://www.synology.com/en-global/security/advisory/Synology_SA_26_19
- Synology-SA-26:19（日本語版）: https://www.synology.com/ja-jp/security/advisory/Synology_SA_26_19
- CVE.org CVE-2026-76954（CVE レコード）: https://www.cve.org/CVERecord?id=CVE-2026-76954
- CVE.org CVE-2026-85101（CVE レコード）: https://www.cve.org/CVERecord?id=CVE-2026-85101
- NVD CVE-2026-76954: https://nvd.nist.gov/vuln/detail/CVE-2026-76954
- NVD CVE-2026-85101: https://nvd.nist.gov/vuln/detail/CVE-2026-85101
- CISA KEV カタログ: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Synology コミュニティ「Finding DSM version via command line?」: https://community.synology.com/enu/forum/17/post/72754