Synology DSM CVE-2026-76954ほか14件 — 11月13日の脆弱性まとめ（悪用確認0件）

11月10〜11日に公開された更新のうち、中小企業のシステムに関係が深いものを選びました。最優先は Synology DSM の CVE-2026-76954（認証 API の SQL インジェクション、CVSS 3.1 は 9.8）です。認証なしでネットワーク経由で攻撃でき、任意のファイルの読み書きにつながる可能性があります。修正版は DSM 7.4.1-90080-1、7.3.2-86009-5、7.2.2-72806-10、7.2.1-69057-13 以降で、回避策は提示されていません。NAS を社内やインターネットから到達できる場所に置いている場合は、更新を優先してください。詳しい手順はSynology DSM の CVE-2026-76954 の確認と対処にまとめています。

ほかに、Chrome 157 安定版（Critical 5件を含む83件の修正）、Node.js のセキュリティリリース（High 7件を含む16件）、運用管理ツール N-able N-central の緊急ホットフィックス（CVE-2026-125883）を取り上げます。本稿での「悪用確認」は、CISA の KEV カタログへの掲載、またはベンダーによる悪用の確認があるものを指します。今日の一覧にそれに当たるものはありません。ただし N-central は攻撃コードが公開されており、スキャンや攻撃の試みが報じられています（詳細は後述）。前日までの Apache・Ivanti・Fortinet・SAP・Outlook・Exchange などは、新しい事実がないため再掲していません。一覧の件数は CVE 単位で、Critical と High のみを載せています。

Synology は11月10日（台湾時間）にセキュリティアドバイザリ Synology-SA-26:19 を公開しました。全体の重大度は Critical、状態は「Resolved」です。CVE レコードは11月12日に公開されています。

CVE-2026-76954 は、DiskStation Manager（DSM）の Auth API にある SQL コマンドインジェクション（CWE-89）です。リモートの攻撃者が任意のファイルを読み書きし、サービス拒否を起こせる可能性があると記載されています。CVSS 3.1 は 9.8（AV:N/AC:L/PR:N/UI:N）で、ネットワーク経由・認証不要・ユーザー操作不要の条件です。

CVE-2026-85101 は rsync の認証回避（CWE-288）で、リモートの攻撃者が認証を回避して特定のファイルを読み、任意のファイルを書き込み、限定的なサービス拒否を起こせる可能性があります。重大度は Important、CVSS 3.1 は 8.6 です。

影響を受けるのは、DSM 7.4、7.3、7.2.2、7.2.1 の各系統の、次の修正版より前のバージョンです。修正版は 7.4.1-90080-1、7.3.2-86009-5、7.2.2-72806-10、7.2.1-69057-13 以降です。アドバイザリの回避策欄は「None」で、更新が唯一の対処です。悪用についての記載はありません。発見者として Viettel Cyber Security Research Lab の2名と Aytio の1名が記載されています。

確認方法は、DSM の「コントロールパネル」の「情報センター」で DSM のバージョンを見るか、「コントロールパネル」の「更新と復元」で更新の有無を確認します。更新が出ていれば、バックアップを取ったうえで適用してください。外部から管理画面（既定では 5000/5001 番ポート）やファイル共有に到達できる設定は、更新と同時に見直すのが安全です。NAS の選び方や運用費の目安はNAS・ファイルサーバー導入費用の相場も参考になります。出典: Synology-SA-26:19。

N-central は、IT 保守会社が顧客の PC やサーバーをまとめて管理する運用管理ツールです。N-able は11月10日に緊急ホットフィックス N-central 2026.4 HF2（ビルド 2026.4.1.26） を公開しました。リリースノートには7件の CVE が列挙され、そのうち CVE-2026-125883 は XML 外部エンティティ参照（XXE、CWE-611）です。CVE レコードによれば、N-able 自身が登録した CVSS 4.0 は 9.3（Critical、AV:N/AC:L/PR:N/UI:N）で、影響は「26.4.1 より前」です。

悪用の状況は、情報源ごとに分けて書きます。CVE レコードの CISA ADP 欄（11月11日付）は Exploitation を「poc」（攻撃コードが公開されている）としており、悪用の確認ではありません。CISA の KEV カタログには、確認できた範囲（11月10日19時過ぎ UTC 更新分）で掲載がありません。CSO Online（11月10日付）は、研究者が11月8日に攻撃コードを公開し、N-able が関連するスキャンを観測したものの、顧客環境への侵害成功の証拠は見ていないと報じています。同記事は、セキュリティ企業 Previdian がハニーポットで1つの IP から68回の攻撃の試みを記録したとも伝えています。これは報道の内容で、N-able の公式ページには悪用に関する記載がありません。

対処は、オンプレミスの N-central サーバーを 2026.4.1.26 に更新することです。N-able のリリースノートによれば、ホスティング版・オンプレミス版のどちらの利用者も Agent と Probe の更新が必要で、ホスティング版でも Agent・Probe は N-able が更新しません。更新は Agent を先に、Probe を後にします。ほかのホットフィックスで修正された6件には、OGNL インジェクション（CVE-2026-125878）、ファイルリポジトリへのアップロード経路を使った RCE（CVE-2026-125882）などがあります。自社が N-central を使っているかが分からない場合は、IT 保守の委託先に確認してください。出典: N-central 2026.4 HF2 リリースノート、N-able アドバイザリ、CVE レコード、CSO Online。

Chrome Releases は11月11日、安定版を 157.0.8103.78/.79（Windows・Mac）と 157.0.8103.78（Linux）に更新したと公開しました。順次配信される形です。セキュリティ修正は83件で、うち Critical は5件、いずれも use-after-free（解放後メモリの使用）です。内訳は ServiceWorker（CVE-2026-126885）、CSS（CVE-2026-126895）、Layout（CVE-2026-126879）、Skia（CVE-2026-126846）、Accessibility（CVE-2026-126911）です。残りの多くは High で、V8・Skia・ANGLE などが含まれます。この投稿に、悪用の記載はありません。

先日の CVE-2026-125350 のように悪用が確認された脆弱性とは別の更新です。ブラウザの更新は、手順が簡単で効果が大きいので、早めに適用してください。確認方法は、Chrome のメニューから「ヘルプ」→「Google Chrome について」を開き、バージョンが 157.0.8103.78 以降であることを確かめ、表示される「再起動」を押します。出典: Chrome Releases（2026年11月11日）。前回の対処はChrome の CVE-2026-125350 の確認と対処をご覧ください。

Node.js は11月11日、22.x・24.x・26.x の各系統でセキュリティリリースを公開しました。修正版は v22.23.5、v24.22.3、v26.13.1 です。16件の内訳は High 7件、Medium 6件、Low 3件で、各系統の最高重大度は High です。依存ライブラリの llhttp（全系統）、undici（24.x・26.x）、sqlite（22.x・24.x）も更新されています。Node.js の公式ページに、悪用に関する記載はありません。

High の7件は、主に HTTP/2 と TLS まわりです。

- CVE-2026-123863（24.x・26.x）: HTTP/2 セッションの破棄時のアサーションで、認証なしのリモートからプロセスを異常終了させられる
- CVE-2026-123864（22.x・24.x・26.x）: HTTPS で長さ0の TLS 書き込みが llhttp を再入し、use-after-free とリクエスト本文のヒープ情報の漏えいにつながる。平文の node:http は対象外
- CVE-2026-123865（全系統）: HTTP/2 の終了時にプロトコルエラーが起きるとメモリとファイル記述子が漏れる。過去の修正の不完全分
- CVE-2026-123866（全系統）: 送信待ちの状態で HTTP/2 ストリームを破棄すると、解放済みのレスポンスメモリが相手に送られる
- CVE-2026-126051（24.x・26.x）: 遅延された TLS ハンドシェイクのコールバックが破棄済みのソケットを使い、未捕捉の例外でサーバーが落ちる
- CVE-2026-123872（全系統）: TLS 1.2 の再ネゴシエーションで servername を変えられ、別ホストのクライアント証明書ポリシーを回避できる
- CVE-2026-123874（24.x・26.x）: respondWithFile() のストリームを書き込み中にリセットすると、HTTP/2 ストリームの use-after-free が起きる

影響があるのは、Node.js で HTTP/2 や HTTPS のサーバーを自社で動かしている場合です。Node.js をビルドツールとして開発 PC で使っているだけなら、リスクは限定的です。確認は node -v で行い、利用中の系統の修正版（22.23.5、24.22.3、26.13.1）以降かを見ます。Docker イメージや CI の基盤イメージは、固定したバージョンのままになっていないかも確認してください。出典: Node.js November 2026 Security Releases。

なお、Node.js はこのほか Medium 6件・Low 3件も修正しています。全件の一覧は上記の公式ページで確認できます。

- 会社に NAS（Synology など）があるかを確認し、Synology の場合は DSM のバージョンを担当者に見てもらう
- DSM が修正版（7.4.1-90080-1、7.3.2-86009-5、7.2.2-72806-10、7.2.1-69057-13）より前なら、バックアップを取って更新する
- NAS の管理画面やファイル共有が、インターネットから直接見える設定になっていないかを確認する
- IT 保守の委託先が N-able N-central を使っているかを聞き、使っている場合は 2026.4 HF2 と Agent・Probe の更新状況を確認する
- 社内の PC で Chrome を再起動し、バージョンが 157.0.8103.78 以降になっているかを確認する
- 自社のシステムが Node.js のサーバーを使っているかを開発担当・委託先に確認し、使っていれば修正版への更新予定を聞く
- 自社で使っていない製品は、対応不要として「確認済み」と記録しておく

- Synology DSM の CVE-2026-76954（SQL インジェクション）の確認と対処
- NAS・ファイルサーバー導入費用の相場
- Chrome の CVE-2026-125350 の確認と対処
- 前日の脆弱性まとめ（Apache ほか）
- 中小企業のパッチ・アップデート管理ガイド

- Synology-SA-26:19: https://www.synology.com/en-global/security/advisory/Synology_SA_26_19
- CVE-2026-125883 レコード: https://www.cve.org/CVERecord?id=CVE-2026-125883
- N-central 2026.4 HF2 リリースノート: https://status.n-able.com/2026/11/10/n-central-2026-4-hf2-release-notes/
- N-able アドバイザリ: https://me.n-able.com/s/security-advisory/aArVy0000002ihhKAA/cve2026125883-multiple-xxe-vulnerabilities
- CSO Online（N-central の報道）: https://www.csoonline.com/article/4247028/n-able-n-central-gets-emergency-fix-two-days-after-33-exploits-published.html
- Chrome Releases（2026年11月11日）: https://chromereleases.googleblog.com/2026/11/stable-channel-update-for-desktop_01744469280.html
- Node.js November 2026 Security Releases: https://nodejs.org/en/blog/vulnerability/november-2026-security-releases
- CISA KEV カタログ: https://www.cisa.gov/known-exploited-vulnerabilities-catalog