Synology DiskStation Manager: Mehrere Schwachstellen
WID-SEC-2026-3463 · erstmals 18.09.2026 · aktualisiert 18.09.2026 · CVSS 9,8
Worum es geht
DiskStation Manager (DSM) ist ein webbasiertes Betriebssystem für Synology NAS-Geräte. Ein Angreifer kann mehrere Schwachstellen in Synology DiskStation Manager ausnutzen, um Dateien zu manipulieren, um einen Denial of Service Angriff durchzuführen, um Informationen offenzulegen, um einen Cross-Site Scripting Angriff durchzuführen und um einen SQL-Injection Angriff durchzuführen.
Unter welchen Bedingungen?
Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- Dateien zu manipulieren
- einen Denial of Service Angriff durchzuführen
- Informationen offenzulegen
- einen Cross-Site Scripting Angriff durchzuführen
- einen SQL-Injection Angriff durchzuführen
Bin ich betroffen?
Betroffen sind laut BSI:
- Synology DiskStation Manager <7.4-90075
- Synology DiskStation Manager <7.3.2-86009-4
- Synology DiskStation Manager <7.2.2-72806-9
- Synology DiskStation Manager <7.2.1-69057-12
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Synology DiskStation Manager 7.4-90075
- Synology DiskStation Manager 7.3.2-86009-4
- Synology DiskStation Manager 7.2.2-72806-9
- Synology DiskStation Manager 7.2.1-69057-12
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Synology Security Advisory vom 2026-09-17 www.synology.com
CVE: CVE-2026-13623, CVE-2026-13635, CVE-2026-13639, CVE-2026-13666, CVE-2026-13673, CVE-2026-13683, CVE-2026-13684, CVE-2026-6205
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.