NAS-ALARM! Synology hat am 15. April 2026 gleich ZWEI Security Advisories rausgehauen, die dich treffen, wenn du eine DiskStation laufen hast: SA-26:06 und SA-26:07. Insgesamt sieben CVEs. Klingt viel? Ist viel – aber Synology liefert auch direkt die Updates, mit denen du das in fünf Minuten regelst.
SCHOCK: Diese 7 Lücken werden geschlossen
- CVE-2026-40540 (SA-26:07) – authentifizierter Remote-User kann nicht-sensitive Infos abgreifen.
- CVE-2026-40530, CVE-2026-40531, CVE-2026-40532 – verschiedene Privilege-Escalation-Wege im DSM-Backend.
- CVE-2026-4036 – ältere Lücke, die jetzt offiziell rückwärts auf supportete DSM-Versionen gepatcht wird.
- CVE-2026-40534, CVE-2026-40536, CVE-2026-40537 – Auth-/Logging-/Session-Korrekturen, die einzeln klein wirken, aber als Kette gefährlich sind.
Wichtig zu wissen: Keine dieser Lücken erlaubt unauthentifiziertes Remote-Code-Execution. Das heißt aber NICHT „harmlos“ – wer DSM-User-Accounts schwach hält oder einen Account schon kompromittiert hat, kann mit den Bugs trotzdem Schaden anrichten.
UNGLAUBLICH: Synology baut leise zurück das Vertrauen auf
Nach der Marketing-Blamage rund um die Lockerung der „nur eigene Festplatten“-Politik im Jahr 2025 ist Synology in 2026 wieder besser unterwegs: schnellere Patches, transparentere Advisories, klare Kommunikation in der Knowledge-Base. Genau das ist die Zuverlässigkeit, die NAS-User über Jahre erwarten.
So patchst du JETZT in 5 MINUTEN
- DSM-Webinterface öffnen. Standardmäßig Port 5000 (HTTP) oder 5001 (HTTPS).
- Systemsteuerung → Aktualisieren & Wiederherstellen. Hier siehst du alle anstehenden Updates.
- DSM-Update prüfen: Steht hier mindestens DSM 7.3.2-86009-3 (oder neuer) – installieren! Wer noch unter dieser Version ist, ist anfällig.
- Reboot zulassen: Synology fragt höflich nach – sag JA. Der NAS startet sauber durch, alle Dienste kommen automatisch zurück.
- Paket-Updates nicht vergessen: Auch Pakete wie Synology Drive, Photos und Surveillance Station bekommen Sicherheits-Patches – im Paketzentrum auf den Reiter „Aktualisieren“ gehen.
EXTRA-TIPP: Admin-User härten
Solange du sowieso im DSM bist: deaktiviere den Default-Account „admin“, erstell einen eigenen Admin mit MFA, schalte die Auto-Block-Liste scharf, und mach das Web-UI nicht mehr direkt aus dem Internet erreichbar. Ein Reverse-Proxy mit Authelia, Tailscale oder ein QuickConnect mit Zwei-Faktor reicht – mehr braucht es nicht.
GEFAHR! Wer Telnet/UPnP an hat – AUS!
Bei den jüngsten Synology-Lücken werden Pfade interessant, die du gar nicht mehr brauchst. Telnet, FTP, UPnP, SMB1 haben in einem 2026er-Setup nichts mehr verloren. Geh durch die Dienst-Liste und schalte aus, was dein Setup nicht aktiv braucht.
HINTERGRUND: NAS-Sicherheit ist ein Marathon
Ein NAS ist eine ganz eigene Klasse von Gerät: Es hält deine Backups, oft Familienfotos, manchmal Buchhaltung – und steht meistens ungewartet im Schrank. Genau deshalb sind Synology, QNAP und TrueNAS bei Angreifern beliebte Ziele: Wer einen NAS kapert, hat sofort wertvolle Daten und einen Hebel für Erpressung.
Die Lehre: Plane NAS-Pflege wie Auto-Inspektion. Einmal im Monat 30 Minuten, in denen du Updates ziehst, Logs sichtest, Snapshots prüfst und das Backup-Ziel verifizierst. Genau diese 30 Minuten retten dich, wenn der nächste Telnet-Bug, RCE-Bug oder Privilege-Escalation-Bug auftaucht. Sicherheit ist Routine, kein Akt der Heldenhaftigkeit.
EXTRA-INFO: 5 Fakten zu DSM 7.3.2 in der April-Welle
- Sieben CVEs auf einmal: Mischung aus Privilege-Escalation und Info-Disclosure.
- Kein Bug erlaubt unauthentifiziertes Remote-Code-Execution – aber Account-Hygiene wird Pflicht.
- Update läuft im Webinterface unter Systemsteuerung > Aktualisieren & Wiederherstellen.
- Reboot ist erforderlich – Synology meldet das selbstständig.
- Auch Pakete wie Synology Drive, Photos und Surveillance Station bekommen Patches im selben Schwung.
BONUS-CHECK: Lass deinen NAS nicht ohne Snapshot-Plan stehen. Die Synology-Funktion Btrfs Snapshot Replication sichert deine wichtigsten Shares minutenweise auf einen zweiten NAS oder eine externe Disk. Damit hast du nicht nur ein Backup gegen Hacker, sondern auch gegen versehentliche Loeschungen, defekte SSDs und einen ungeplanten Update-Reboot, der mal schief geht.
FAZIT: NAS-Pflege ist NIE optional
NAS-Geräte stehen oft jahrelang im Schrank – und werden zu Sicherheitslücken auf Beinen, wenn niemand sie pflegt. Synology liefert mit den April-Advisories ein Lehrstück, wie schnell Geräte alle paar Wochen Patches brauchen. 5 Minuten Update – und dein NAS bleibt das, was er sein soll: ruhig, zuverlässig, sicher.