CVE-2026-13639 Synology: entropia insufficiente nel login

CVE-2026-13639 è una vulnerabilità di entropia insufficiente nella logica di login di Synology DiskStation Manager (DSM). La falla consente ad attaccanti remoti di leggere o scrivere file arbitrari sul dispositivo e di eseguire attacchi denial-of-service, compromettendo la confidenzialità, integrità e disponibilità dei dati memorizzati sui NAS. Il CVSS 9,8 reflette la criticità dell'impatto: l'accesso ai file può estendersi a tutte le condivisioni e ai backup.

La vulnerabilità è critical (CVSS 9,8) dal 18 settembre 2026. Se e quando Synology ha rilasciato patch non è riportato. Segnali su X indicano che il CVE è parte di catene di sfruttamento combinate sfruttate attivamente: un post di oggi lo menciona insieme ad altri due CVE critici. Non sono riportati repository di exploit pubblici su GitHub; il segnale rimane su social ma richiede attenzione.

I sysadmin devono verificare immediatamente la versione di DSM su tutti i NAS Synology in produzione e applicare l'aggiornamento alle versioni fisse (7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4, 7.4-90075 o successive) se disponibili dal vendor. In parallelo monitorare i log di accesso remoto, limitare l'esposizione della management interface a reti fidate, e verificare l'integrità dei dati per escludere accessi non autorizzati. Priorità massima: il CVSS 9,8 su prodotto business critico.