Majitelia sieťových úložísk Synology by tento týždeň nemali odkladať aktualizáciu. Výrobca 10. novembra 2026 zverejnil dve bezpečnostné hlásenia k operačnému systému DSM, ktoré spolu opravujú 27 zraniteľností. Najvážnejšia z nich dostala hodnotenie 9,8 z 10 na stupnici CVSS – teda takmer najvyššie možné. Útočník ju podľa Synology môže zneužiť na diaľku a bez prihlásenia, pričom môže čítať aj zapisovať ľubovoľné súbory. Pre zariadenie, ktoré často slúži ako centrálne úložisko rodinných fotografií, firemných dokumentov aj záloh, je to mimoriadne nepríjemná kombinácia.

Čo presne Synology opravuje

Kritické hlásenie s označením Synology-SA-26:19 obsahuje dve chyby, ktoré spája jedno: ani jedna nevyžaduje platné používateľské konto.

• CVE-2026-76954 (CVSS 9,8) – chyba typu SQL injection v prihlasovacom rozhraní DSM (Auth API). Vzdialený útočník cez ňu môže čítať alebo zapisovať ľubovoľné súbory a vyvolať výpadok služby.
• CVE-2026-85101 (CVSS 8,6) – obídenie overenia v službe rsync, ktorá sa bežne používa na synchronizáciu a zálohovanie medzi zariadeniami. Umožňuje čítať niektoré súbory, zapisovať ľubovoľné súbory a v obmedzenej miere narušiť chod služby.

Druhé hlásenie, Synology-SA-26:18, pridáva ďalších 25 zraniteľností so stupňom závažnosti „dôležitá“ alebo „stredná“. Týkajú sa napríklad rozhrania na zdieľanie súborov, WebDAV, VPN, NFS či modulu Security Advisor. Viaceré z nich síce predpokladajú, že útočník už má prihlasovacie údaje, no práve to býva po úniku hesiel alebo pri slabom hesle realitou.

Chyby nahlásili bezpečnostní výskumníci zo spoločností Viettel Cyber Security a Aytio. Synology v hlásení neuvádza žiadne dočasné opatrenie (mitigáciu) – jediným riešením je aktualizácia. O tom, že by zraniteľnosti už útočníci aktívne zneužívali, výrobca ani doterajšie správy neinformujú; to sa však môže rýchlo zmeniť, keďže zverejnenie opravy často slúži útočníkom ako návod, kde hľadať.

Ktoré verzie DSM sú bezpečné

Kritické chyby sú opravené v týchto zostaveniach (alebo novších):

• DSM 7.4 – 7.4.1-90080 Update 1
• DSM 7.3 – 7.3.2-86009 Update 5
• DSM 7.2.2 – 7.2.2-72806 Update 10
• DSM 7.2.1 – 7.2.1-69057 Update 13

Pozor: opravy z druhého hlásenia (25 menej závažných chýb) Synology uvádza len pre vetvy DSM 7.3 a 7.4. Kto ešte používa staršiu vetvu 7.2, mal by zvážiť prechod na novšiu verziu, ak to jeho model podporuje.

Prečo je NAS taký lákavý cieľ

Sieťové úložisko je pre útočníka ideálna korisť: je zapnuté nonstop, býva dostupné z internetu (napríklad kvôli vzdialenému prístupu k súborom) a obsahuje presne tie dáta, za ktoré sú obete ochotné platiť. Ešte koncom októbra pritom Synology varoval pred ransomvérom C3RB3R, ktorý šifroval zariadenia s neaktualizovaným systémom – zneužíval chybu opravenú už v roku 2024. Tá skúsenosť ukazuje, že najväčším rizikom nebýva samotná zraniteľnosť, ale mesiace či roky, počas ktorých ostane neopravená.

Chyba v službe rsync je navyše zákerná práve z pohľadu zálohovania. Mnohí používatelia aj firmy cez rsync posielajú zálohy z jedného zariadenia na druhé. Ak útočník dokáže na cieľové zariadenie zapisovať ľubovoľné súbory, ohrozená môže byť aj samotná záloha – teda posledná záchranná sieť.

Dopad na bezpečnosť a obnovu dát

Útok na NAS môže mať rôzne podoby: zašifrovanie zväzkov ransomvérom, tiché odcudzenie dokumentov, ale aj prepísanie alebo zmazanie súborov. Pri šifrovaní moderným ransomvérom je obnova bez kľúča spravidla nemožná a jedinou cestou zostáva neporušená záloha. Pri zmazaní či poškodení dát, prípadne pri poškodení RAID poľa po neúspešných zásahoch, však odborné laboratórium často dokáže zachrániť veľkú časť obsahu – pokiaľ sa disky medzitým ďalej neprepisujú.

Čo urobiť hneď

• Aktualizujte DSM v Ovládacom paneli (sekcia Update & Restore) a overte, že máte niektoré z vyššie uvedených zostavení.
• Obmedzte prístup z internetu. Ak nepotrebujete správu NAS-u zvonku, vypnite presmerovanie portov a QuickConnect; na vzdialený prístup radšej používajte VPN.
• Vypnite nepoužívané služby, napríklad rsync, WebDAV či NFS, ak ich nevyužívate.
• Zapnite dvojfaktorové overenie a pravidelne kontrolujte protokoly prihlásení.
• Dodržujte pravidlo 3-2-1: tri kópie dát, na dvoch typoch médií, z toho jedna mimo domu či firmy – ideálne offline alebo nemenná (immutable), aby ju útočník z NAS-u nedokázal zmeniť.
• Pravidelne skúšajte obnovu. Záloha, z ktorej ste nikdy nič neobnovili, je len predpoklad.

Varovné príznaky

Zbystrite pozornosť, ak sa na NAS-e objavia neznáme súbory s výkupným, súbory s neznámou príponou, nové používateľské kontá, neočakávané naplánované úlohy alebo trvalo vysoká aktivita diskov bez zjavného dôvodu.

Čo nerobiť pri podozrení na útok alebo poruchu

• Nespúšťajte opravu ani prestavbu RAID poľa a neinicializujte disky – môžete nenávratne prepísať zostávajúce dáta.
• Nezapisujte na postihnuté zväzky nové súbory a neinštalujte na ne „záchranné“ programy.
• Neplaťte výkupné unáhlene – nemáte záruku, že dáta dostanete späť.
• Zariadenie odpojte od siete, zaznamenajte si, čo vidíte, a poraďte sa s odborníkom.

Záver

Nové opravy od Synology sú pripomienkou, že aj zariadenie, ktoré „len uchováva súbory“, potrebuje pravidelnú údržbu. Aktualizácia zaberie pár minút, kým následky útoku alebo straty dát môžu trvať týždne. Ak ste o dáta na NAS-e, disku či inom médiu už prišli, kontaktujte odborníkov na www.zachranaudajov.sk a neskúšajte svojpomocné opravy, ktoré môžu poškodenie ešte zhoršiť.

Zdroj: PC Gamer – Got a Synology NAS? Time to check your updates; Synology-SA-26:19; Synology-SA-26:18