Synologyは2026年11月10日、ネットワーク経由でファイルを保存・共有するNASを管理するOS「DiskStation Manager（DSM）」のセキュリティ更新を公開しました。遠隔からファイルを不正に読み書きされたり、サービスを停止させられたりするおそれがある2件の脆弱性を修正しています。

社内の共有フォルダーやバックアップ先にSynology NASを使っている場合は、機器の管理担当者にDSMのバージョンと修正適用状況を確認してください。 セキュリティ告知の全体評価はCriticalで、回避策は示されていません。Synologyの公式告知

対象と修正版

公式に記載された修正版は次のとおりです。DSMの系列だけでなく、末尾の更新番号まで照合します。

利用している系列 修正版
DSM 7.4 7.4.1-90080-1以降
DSM 7.3 7.3.2-86009-5以降
DSM 7.2.2 7.2.2-72806-10以降
DSM 7.2.1 7.2.1-69057-13以降

これより古い系列や機種については、この表だけで安全と判断せず、対応する更新の有無を提供元に確認します。

ファイル共有とバックアップに関わる問題

CVE-2026-76954は、DSMの認証用APIが入力を適切に扱わない問題です。CVE-2026-85101は、ファイルを同期する仕組みであるrsyncの認証を回避される問題です。いずれも公式評価では攻撃者の事前権限や利用者の操作を必要としませんが、対象機能への到達可能性を含め、自社の構成を確認する必要があります。

共有ファイルの漏えい・改変やバックアップの利用不能につながる可能性があります。ただし、公式告知には実際の悪用や被害発生を確認したとの記載はありません。 修正版の公開と、個別企業での被害の有無は別の話です。

更新担当者と決めておきたいこと

  • 対象機器をそろえる：本社の共有NASだけでなく、拠点やバックアップ専用機も一覧にする。
  • 更新後の番号を残す：適用予定だけでなく、再起動などが終わった後のDSMバージョンを記録する。
  • 業務への影響を確かめる：更新日時を調整し、共有フォルダーの読み書きとバックアップの実行結果を確認する。
  • 接続範囲を点検する：管理画面や同期機能に、不要な外部・社内端末から接続できる状態がないか確認する。

後半のチェック項目は、告知を踏まえた運用上の確認案です。接続制限だけで修正が完了したとは扱わず、機種に合った更新を進めます。バックアップ先そのものがNASである場合は、保管済みデータがあることに加え、必要なデータを復元できることも確かめておくと、業務再開の判断に役立ちます。

確認日：2026年11月13日。対象と修正版はSynology-SA-26:19に基づきます。