Alerta crítica: Synology ha publicado una actualización de seguridad para corregir una vulnerabilidad crítica (CVE-2026-13684) en DiskStation Manager (DSM) que afecta al componente SCGI. Un atacante remoto no autenticado podría explotar esta falla para leer o escribir archivos arbitrarios en el sistema y provocar denegaciones de servicio. Se recomienda encarecidamente aplicar los parches de seguridad disponibles de forma inmediata.
Resumen ejecutivo
| CVE | CVE-2026-13684 |
|---|---|
| Fabricante | Synology |
| Producto | DiskStation Manager (DSM) |
| Fecha de publicación | 2026-09-18 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Prioridad RyzerBot | 210 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-13684 es una falla de tipo Improper Encoding or Escaping of Output (codificación o escape incorrecto de salida), clasificada bajo el estándar CWE-116. Este defecto se localiza en el componente SCGI (Simple Common Gateway Interface) de Synology DiskStation Manager (DSM), el sistema operativo que gestiona los dispositivos NAS de la marca.
La naturaleza del fallo permite que un atacante remoto, sin necesidad de autenticación previa, pueda explotar el manejo inadecuado de la codificación de salida en SCGI. Esto se traduce en dos capacidades ofensivas principales:
- Lectura y escritura de archivos arbitrarios: el atacante podría acceder a ficheros sensibles del sistema o modificar archivos críticos, comprometiendo la integridad y confidencialidad del dispositivo y de los datos almacenados.
- Denegación de servicio (DoS): la explotación podría provocar la caída del servicio o del propio sistema, afectando a la disponibilidad del NAS.
La gravedad de esta vulnerabilidad se refleja en su puntuación CVSS de 9.8, considerada crítica. El vector de ataque es remoto, no requiere privilegios ni interacción del usuario, y el impacto se extiende a la confidencialidad, integridad y disponibilidad del sistema, todas ellas con un nivel alto.
Dado que los dispositivos NAS de Synology se utilizan con frecuencia para almacenar copias de seguridad y datos corporativos sensibles, la exposición a esta vulnerabilidad representa un riesgo significativo. Un atacante que logre explotarla podría obtener control sobre el dispositivo, robar información o interrumpir servicios críticos.
Es importante señalar que la vulnerabilidad afecta a múltiples versiones de DSM, por lo que se recomienda encarecidamente a los administradores verificar la versión instalada en sus dispositivos y aplicar las actualizaciones de seguridad proporcionadas por Synology lo antes posible.
La información técnica detallada sobre la vulnerabilidad ha sido publicada por el fabricante en su aviso de seguridad oficial, que se referencia en la sección de fuentes de este artículo.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-13684 afecta a Synology DiskStation Manager (DSM) en las siguientes versiones, según la información publicada por CVE.org y NVD:
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| DiskStation Manager (DSM) | 7.4 | 7.4-90075 |
| DiskStation Manager (DSM) | 7.3.2 | 7.3.2-86009-4 |
| DiskStation Manager (DSM) | 7.2.2 | 7.2.2-72806-9 |
| DiskStation Manager (DSM) | 7.2.1 | 7.2.1-69057-12 |
Las versiones anteriores a las indicadas en la columna «Versión corregida» se consideran afectadas. CVE.org también registra un rango de versiones «0» hasta «7.2.1» con estado «unknown», lo que implica que las versiones previas a 7.2.1 no han sido clasificadas explícitamente por el fabricante en la información publicada. No se han publicado otras ramas de producto o versiones adicionales en las fuentes consultadas.
Impacto y riesgo
La vulnerabilidad presenta una puntuación CVSS v3.1 de 9.8 (CRITICAL) con el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto indica que un atacante remoto puede explotar la falla sin necesidad de autenticación ni interacción del usuario, a través de la red, con una complejidad de ataque baja.
El impacto técnico se desglosa en tres ejes principales, todos con severidad alta:
- Confidencialidad (C:H): lectura arbitraria de archivos en el sistema, lo que puede exponer datos sensibles almacenados en el NAS, como configuraciones, credenciales o información de usuarios.
- Integridad (I:H): escritura arbitraria de archivos, permitiendo modificar o inyectar contenido en el sistema de archivos, lo que podría comprometer la integridad del sistema operativo o de los servicios alojados.
- Disponibilidad (A:H): capacidad de realizar ataques de denegación de servicio (DoS), interrumpiendo los servicios ofrecidos por el DSM.
La causa raíz se clasifica como CWE-116: Improper Encoding or Escaping of Output, localizada en el componente SCGI de DSM. Esta debilidad permite que la salida no codificada o escapada adecuadamente sea interpretada de forma maliciosa, facilitando los escenarios de lectura/escritura de archivos y denegación de servicio descritos.
Dado que el vector de ataque es completamente remoto y no requiere privilegios previos, el riesgo para los administradores de sistemas Synology expuestos a Internet o redes no confiables es crítico. Se recomienda priorizar la aplicación de las actualizaciones publicadas por el fabricante.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre explotación activa de CVE-2026-13684. No se mencionan ataques en curso, exploits públicos o inclusiones en catálogos de vulnerabilidades explotadas conocidas en el contexto proporcionado. La ausencia de esta información no debe interpretarse como una confirmación de que no exista explotación; simplemente, los datos disponibles no la respaldan de manera explícita.
Indicadores de compromiso (IOC)
El campo enrichment.ioc del contexto se encuentra vacío. Las fuentes consultadas (NVD, CVE.org y el aviso de Synology) no han publicado indicadores de compromiso estructurados, como direcciones IP, dominios, hashes de archivos o rutas específicas asociadas a esta vulnerabilidad. No se deben inventar ni inferir IOC a partir de otros datos. Si se requiere monitorización, se recomienda consultar directamente el aviso oficial del fabricante para posibles actualizaciones.
Cómo comprobar si estás afectado
Para determinar si tu instalación de DiskStation Manager (DSM) es vulnerable a CVE-2026-13684, debes verificar la versión exacta del sistema operativo de tu dispositivo Synology. El fabricante ha confirmado que las versiones afectadas son anteriores a las siguientes builds correctivas:
| Rama DSM | Versión corregida |
|---|---|
| 7.2.1 | 7.2.1-69057-12 |
| 7.2.2 | 7.2.2-72806-9 |
| 7.3.2 | 7.3.2-86009-4 |
| 7.4 | 7.4-90075 |
Si tu versión de DSM es inferior a cualquiera de las indicadas en la tabla anterior, el dispositivo debe considerarse afectado. La vulnerabilidad reside en el componente SCGI y permite a un atacante remoto, sin necesidad de autenticación, leer o escribir archivos arbitrarios y provocar denegaciones de servicio.
Para conocer la versión instalada, accede a Panel de control > Actualización y restauración o consulta la información del sistema desde el propio DSM. No se han publicado comandos de verificación específicos para esta vulnerabilidad en las fuentes consultadas.
Mitigación y actualización
La única acción de mitigación confirmada por el fabricante es la aplicación de la actualización correspondiente a tu rama de DSM. Synology ha publicado el aviso oficial Synology_SA_26_13 con los detalles y los enlaces de descarga para cada versión corregida.
No se han documentado mitigaciones alternativas, como la desactivación del componente SCGI o reglas de firewall específicas, en las fuentes oficiales consultadas. Por tanto, se recomienda encarecidamente:
- Planificar la ventana de actualización con la menor afectación posible para los servicios que dependen del NAS.
- Realizar una copia de seguridad completa de la configuración y los datos antes de aplicar el parche.
- Aplicar la actualización desde el Panel de control o mediante la descarga manual desde el portal de soporte de Synology.
- Verificar tras la actualización que la versión instalada coincide con la build corregida indicada en la tabla.
Dado el nivel de criticidad (CVSS 9.8) y la exposición remota sin autenticación, se recomienda priorizar esta actualización sobre cualquier otra tarea de mantenimiento rutinario.
Checklist para administradores
- ☐ Identificar todos los dispositivos Synology de la organización que ejecuten DSM.
- ☐ Registrar la versión exacta de DSM de cada dispositivo (Panel de control > Actualización y restauración).
- ☐ Comparar las versiones con la tabla de builds corregidas publicada por Synology.
- ☐ Confirmar que los dispositivos afectados no están expuestos directamente a Internet sin protección adicional.
- ☐ Realizar copia de seguridad completa de la configuración y datos críticos antes de actualizar.
- ☐ Programar la actualización en una ventana de mantenimiento adecuada.
- ☐ Aplicar la actualización correspondiente a cada rama de DSM.
- ☐ Verificar la nueva versión instalada tras el reinicio del sistema.
- ☐ Revisar los logs del sistema para detectar actividad anómala previa a la actualización.
- ☐ Documentar el procedimiento realizado y las versiones finales en el inventario de activos.
Preguntas frecuentes
¿Qué es SCGI y por qué es relevante en esta vulnerabilidad?
SCGI (Simple Common Gateway Interface) es un protocolo utilizado para la comunicación entre servidores web y aplicaciones. En DSM, el manejo incorrecto de la codificación o escape de salida en este componente permite a un atacante manipular archivos del sistema y provocar denegaciones de servicio.
¿La vulnerabilidad es explotable de forma remota?
Sí. El vector CVSS indica que el ataque puede realizarse remotamente (AV:N) sin necesidad de credenciales (PR:N) ni interacción del usuario (UI:N). Esto eleva la criticidad a 9.8 sobre 10.
¿Qué impacto puede tener si mi NAS está afectado?
Un atacante podría leer o escribir archivos arbitrarios en el sistema, lo que podría comprometer la confidencialidad e integridad de los datos almacenados, así como provocar denegaciones de servicio que afecten a la disponibilidad de los servicios del NAS.
¿Existen indicadores de compromiso (IOC) conocidos?
No publicado por las fuentes consultadas. No se han extraído IOC estructurados de las referencias oficiales disponibles.
¿Debo desconectar mi NAS de Internet mientras no pueda actualizar?
Aunque no es una mitigación oficial, limitar la exposición innecesaria del dispositivo a Internet reduce la superficie de ataque. Si no puedes aplicar el parche de inmediato, restringe el acceso remoto al NAS mediante firewall o VPN.
¿La actualización requiere reinicio del dispositivo?
Las actualizaciones de DSM suelen requerir un reinicio del sistema para completarse. Planifica la ventana de mantenimiento en consecuencia y asegúrate de que las copias de seguridad estén actualizadas antes de proceder.