Le 29 octobre 2026, Synology a publié une alerte : des pirates exploitent une faille corrigée en décembre 2024 (avis Synology-SA-24:20) pour chiffrer les données des NAS dont le système DSM n’a pas été mis à jour, puis réclamer une rançon. La faille principale (CVE-2024-10441, note 9,8 sur 10) permet d’exécuter du code à distance sans mot de passe.
En septembre 2026, Synology a aussi corrigé huit nouvelles failles de DSM (avis Synology-SA-26:13), dont deux critiques (9,8 sur 10) qui permettent, sans être connecté, de lire et d’écrire des fichiers sur le NAS. Pour celles-ci, il n’existe aucun contournement : seule la mise à jour protège.
Êtes-vous concerné ?
Si vous avez un NAS Synology (DiskStation, RackStation) ou un BeeStation, et que DSM n’a pas été mis à jour depuis plusieurs mois : oui. Le risque est maximal si le NAS est accessible depuis Internet (QuickConnect, redirection de ports 5000/5001 sur la box, nom en .synology.me).
Les versions minimales à avoir
| Branche DSM | Version minimale (avis SA-26:13, septembre 2026) |
|---|---|
| DSM 7.4 | 7.4-90075 |
| DSM 7.3 | 7.3.2-86009-4 |
| DSM 7.2.2 | 7.2.2-72806-9 |
| DSM 7.2.1 | 7.2.1-69057-12 |
| DSM 7.1 et plus ancien | pas dans la liste des correctifs de septembre : passer à une branche plus récente si le modèle le permet |
BeeStation : version 1.1-65374 ou plus récente pour la faille exploitée par les rançongiciels (SA-24:20).
Que faire ?
- Mettez DSM à jour : Panneau de configuration › Mise à jour et restauration › Mise à jour de DSM. Comparez le numéro de version au tableau.
- Activez les mises à jour automatiques sur le même écran (au minimum « mises à jour importantes »).
- Fermez l’accès direct depuis Internet : supprimez sur votre box les redirections des ports 5000 et 5001 ; pour accéder au NAS à distance, préférez un VPN. Si vous gardez QuickConnect, limitez-le aux applications dont vous avez réellement besoin.
- Activez la double authentification (Panneau de configuration › Sécurité › Compte) et désactivez le compte « admin » par défaut au profit d’un compte administrateur nominatif.
- Protégez vos données contre le chiffrement : activez les instantanés (Snapshot Replication), en version immuable si votre DSM le propose, et gardez une sauvegarde hors du NAS (Hyper Backup vers un autre site ou un disque déconnecté). Un rançongiciel qui chiffre le NAS ne peut pas toucher une copie qu’il n’atteint pas.
Le conseil BETOTECH
Un NAS sert souvent de dernière sauvegarde : s’il est chiffré, il n’y a plus rien pour récupérer. Appliquez la règle 3-2-1 : trois copies, sur deux supports différents, dont une hors site. Nous pouvons vérifier votre NAS, sa version et son exposition à Internet : contactez-nous.
Sources
- Synology – alerte rançongiciel sur les DSM non mis à jour (29/10/2026)
- Synology-SA-24:20 (DSM, versions corrigées)
- Synology-SA-26:13 (DSM, septembre 2026)
- Centre pour la Cybersécurité Belgique (CCB) – avertissement Synology DSM
Article publié le 1er novembre 2026. Les informations de sécurité évoluent vite : avant d’agir, vérifiez toujours l’avis officiel du fabricant (liens ci-dessus).