Kurzfassung
Synology DiskStation Manager (DSM) weist mit CVE-2026-13639 und CVE-2026-13684 zwei kritische Schwachstellen auf. Beide sind mit CVSS 9.8, kritisch bewertet und lassen sich laut den vorliegenden Informationen über das Netzwerk ohne Anmeldung und ohne Nutzerinteraktion angreifen. Betroffen sind mehrere DSM-Zweige vor den Versionen 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 und 7.4-90075.
Was ist passiert?
Betroffen ist Synology DiskStation Manager, also das zentrale Betriebssystem vieler NAS-Systeme des Herstellers. Die beiden gemeldeten Schwachstellen betreffen unterschiedliche Komponenten, führen laut NVD aber zu sehr ähnlichen Risiken: Angreifer aus dem Netzwerk können beliebige Dateien lesen oder schreiben und zudem Denial-of-Service-Angriffe auslösen.
CVE-2026-13639 beschreibt ein Problem mit unzureichender Entropie in der Login-Logik. CVE-2026-13684 betrifft eine fehlerhafte Kodierung oder Ausgabe-Escaping in SCGI. Für Unternehmen im DACH-Raum ist das vor allem dort relevant, wo DSM-Systeme direkt aus dem Internet erreichbar sind oder als zentrale Datei-, Backup- oder Verwaltungsplattform dienen.
Technische Details
Synology nennt bei beiden Schwachstellen dieselben betroffenen Versionsstände: DSM vor 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 und 7.4-90075. Sowohl CVE-2026-13639 als auch CVE-2026-13684 sind mit CVSS 9.8 bewertet; der Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H bedeutet, dass ein Angriff über das Netzwerk möglich ist, mit geringer Komplexität, ohne Berechtigungen und ohne Mitwirkung eines Nutzers.
Der CVSS-Wert beschreibt die technische Schwere, nicht automatisch eine bestätigte aktive Ausnutzung in freier Wildbahn. Trotzdem ist die Kombination aus Remote-Angriff, fehlender Authentifizierung und möglichem Lese- oder Schreibzugriff auf Dateien für Administratoren ein klares Hochrisiko-Szenario.
Bei CVE-2026-13639 liegt der Fehler in der Login-Logik. Bei CVE-2026-13684 steckt das Problem in SCGI und betrifft die Behandlung von Ausgaben. In beiden Fällen nennt NVD als mögliche Folgen das Lesen oder Schreiben beliebiger Dateien sowie Denial-of-Service.
Wer ist betroffen?
Betroffen sind Systeme mit Synology DSM in den Versionszweigen 7.2.1, 7.2.2, 7.3.2 und 7.4, sofern sie unterhalb der genannten Builds laufen. Konkret gelten als verwundbar alle Installationen vor 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 und 7.4-90075.
Besonders kritisch ist die Lage für NAS-Systeme, die Verwaltungsoberflächen oder zugehörige Dienste direkt ins Internet veröffentlichen. In Unternehmen kann das nicht nur Dateiablagen treffen, sondern auch Backup-Ziele, Überwachungsarchive, zentrale Austauschplattformen oder Systeme mit sensiblen Projektdaten. Wer DSM ausschließlich intern und zusätzlich segmentiert betreibt, senkt das Risiko deutlich, beseitigt es aber nicht.
Empfohlene Maßnahmen
Erstens: Prüfen Sie umgehend die DSM-Version aller Synology-Systeme. Priorität haben Geräte mit externer Erreichbarkeit, insbesondere wenn die Admin-Oberfläche, Webdienste oder Fernzugänge aus dem Internet offen sind.
Zweitens: Aktualisieren Sie betroffene Systeme mindestens auf 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 oder 7.4-90075, je nach eingesetztem Zweig. Wenn ein Upgrade nicht sofort möglich ist, sollten Sie den externen Zugriff auf DSM und zugehörige Webschnittstellen vorübergehend unterbinden oder strikt auf VPN und freigegebene Quellnetze begrenzen.
Drittens: Kontrollieren Sie Protokolle auf ungewöhnliche Zugriffe auf Webdienste, Login-Abläufe, Dateizugriffe und plötzliche Dienstabbrüche. Da laut NVD auch Schreibzugriffe auf beliebige Dateien möglich sein können, sollten Sie zusätzlich die Integrität wichtiger Konfigurationen, Aufgaben und Freigaben prüfen.
Viertens: Stellen Sie sicher, dass aktuelle und getrennt aufbewahrte Backups vorhanden sind. Bei Systemen mit hohem Schutzbedarf empfiehlt sich nach dem Update ein gezielter Review von Benutzerkonten, Aufgabenplanung, Webanwendungen und exponierten Diensten.
Einschätzung von CyberSecurity-News.de
Die technische Einstufung ist eindeutig: Zwei Schwachstellen mit CVSS 9.8 in einer weit verbreiteten NAS-Plattform verdienen sofortige Aufmerksamkeit. Für viele Unternehmen ist weniger der Dateiserver an sich das Problem als dessen Rolle im Betrieb: Backup-Speicher, Austauschpunkt für Dienstleister, Ziel für Videoarchive oder interne Dokumentendrehscheibe. Genau deshalb kann ein erfolgreicher Angriff weit über einen einzelnen Host hinaus Folgen haben.
Die Informationslage ist knapp, aber für die Priorisierung ausreichend. Positiv ist, dass betroffene Versionsstände klar benannt sind. Offen bleibt, ob bereits aktive Angriffe beobachtet wurden; dazu enthalten die NVD-Einträge keine belastbaren Hinweise. Wer Synology-Systeme öffentlich erreichbar betreibt, sollte nicht auf weitere Details warten, sondern direkt patchen und die Angriffsfläche reduzieren.
Fazit
Wenn Sie Synology DSM einsetzen, sollten Sie die genannten Versionsstände sofort abgleichen und betroffene Systeme priorisiert aktualisieren. Besonders dringlich ist das bei internetnahen NAS-Systemen, weil beide Lücken ohne Anmeldung aus dem Netzwerk angreifbar sind. Wo ein Update nicht sofort möglich ist, muss der externe Zugriff bis zur Bereinigung eingeschränkt werden.
