Ein Synology-NAS gehört für viele Selfhoster zur ersten Anschaffung überhaupt — praktisch, wartungsarm, und meist rund um die Uhr aus dem Internet erreichbar. Genau diese Dauerpräsenz macht die Sicherheitsmeldung Synology-SA-26:13 so brisant: Sie bündelt acht Sicherheitslücken in DSM, dem Betriebssystem hinter jedem Synology-NAS, zwei davon mit dem Höchstwert CVSS 9,8 und ganz ohne Login ausnutzbar.
DIE ZWEI KRITISCHEN LÜCKEN: SCGI und Login-Logik
CVE-2026-13684 steckt in der SCGI-Komponente von DSM und beruht auf einem Fehler bei der Ausgabe-Kodierung. CVE-2026-13639 betrifft die Login-Logik selbst und geht auf unzureichende Zufälligkeit (Entropie) an einer sicherheitsrelevanten Stelle zurück. Beide erlauben es einem nicht angemeldeten, entfernten Angreifer, beliebige Dateien auf dem NAS zu lesen oder zu schreiben und zusätzlich Denial-of-Service-Zustände auszulösen — ganz ohne Interaktion des Nutzers.
Für ein privates NAS heißt das im schlimmsten Fall: Fotos, Backups und Finanzunterlagen liegen offen, Konfigurationsdateien lassen sich manipulieren, und das Gerät kann durch gezielte Anfragen lahmgelegt werden — alles, ohne dass der Angreifer je ein gültiges Passwort braucht.
SECHS WEITERE LÜCKEN — VOM AUTHENTIFIZIERTEN RISIKO BIS ZUR RANDNOTIZ
Die Advisory listet daneben sechs weitere CVEs mit gestaffeltem Schweregrad: CVE-2026-13673 (CVSS 8,8) und CVE-2026-6205 (CVSS 8,1) erlauben bereits angemeldeten Nutzern, beliebige Dateien zu lesen, zu schreiben oder DoS-Zustände auszulösen. Drei weitere Einträge mit CVSS-Werten zwischen 2,7 und 5,3 setzen Administratorrechte voraus und erlauben nur eingeschränkten Zugriff auf Dateien oder nicht-sensible Informationen. In Summe hat Synology die Advisory dennoch mit dem Gesamt-Schweregrad „Kritisch“ versehen — ein Hinweis darauf, wie ernst der Hersteller die Kombination der beiden Top-Lücken nimmt.
KEINE MITIGATION — NUR DAS UPDATE HILFT
Besonders unangenehm: Die Advisory selbst nennt keine Workarounds. Wer sein NAS nicht kurzfristig aktualisieren kann, hat also keine Konfigurationsschraube, an der er drehen könnte, um die Lücken zumindest abzumildern — außer dem Netzwerkzugriff auf das Gerät komplett einzuschränken. Bislang gibt es laut Synology keine Hinweise auf aktive Ausnutzung und keinen öffentlichen Proof-of-Concept, was etwas Zeitdruck herausnimmt, aber angesichts der Unauthenticated-Natur der beiden Top-Lücken keine Entwarnung bedeutet.
DIESE VERSIONEN SCHLIESSEN DIE LÜCKE
- DSM 7.4: Update auf 7.4-90075 oder neuer
- DSM 7.3: Update auf 7.3.2-86009-4 oder neuer
- DSM 7.2.2: Update auf 7.2.2-72806-9 oder neuer
- DSM 7.2.1: Update auf 7.2.1-69057-12 oder neuer
Wer eine ältere DSM-Version als 7.2.1 fährt, taucht in der Advisory gar nicht mehr auf — ein zusätzlicher Anlass, spätestens jetzt über ein größeres Versions-Upgrade nachzudenken.
SO PATCHST DU IN FÜNF MINUTEN
- Im DSM-Kontrollzentrum unter „Aktualisierung & Wiederherstellung“ nach verfügbaren Updates suchen.
- Vor dem Update einen frischen Konfigurations-Snapshot oder ein Backup anlegen, wie bei jedem größeren DSM-Patch üblich.
- Update einspielen und die installierte Version gegen die Liste oben prüfen.
- Falls das NAS direkt per Portweiterleitung aus dem Internet erreichbar ist: Zugriff nach Möglichkeit auf ein VPN oder Synologys eigenen QuickConnect-Reverse-Proxy umstellen, statt Ports offen zu lassen.
FAZIT: Update jetzt einplanen, nicht aufschieben
Zwei unauthentifizierte 9,8er-Lücken in einem Gerät, das in vielen Haushalten dauerhaft am Netz hängt, sind kein Detail für die nächste Wartungsrunde. Da Synology keine Mitigation anbietet, bleibt als einziger wirksamer Schutz das Update auf die gepatchten DSM-Versionen — und ein kurzer Blick darauf, ob das eigene NAS wirklich ungeschützt aus dem offenen Internet erreichbar sein muss.