Synology DSM 多項漏洞已修補：按分支核對更新版本

情報摘要

Synology SA-26:13 將 DSM 多項漏洞評為 Critical，當中兩項 CVSS 3.1 為 9.8，可讓遠端攻擊者讀寫任意檔案或造成服務中斷。官方已為 DSM 7.2.1、7.2.2、7.3 及 7.4 列出修補版本。這份供應商公告於 9 月 18 日發布，並非 11 月新發現的漏洞。

官方公告列出八項漏洞。CVE-2026-13684 及 CVE-2026-13639 可讓遠端攻擊者讀寫任意檔案及造成阻斷服務；其他項目可能涉及已認證帳戶、管理員權限或使用者互動，不能把兩項 9.8 分數套用到整份清單。

供應商頁面發布及最後更新時間均列為 2026 年 9 月 18 日 16:17:35（UTC+8），狀態為 Resolved。這表示供應商提供了修補，並不表示每部用戶裝置已自動更新。

受影響產品

Synology DSM：7.2.1 早於 7.2.1-69057-12；7.2.2 早於 7.2.2-72806-9；7.3 早於 7.3.2-86009-4；7.4 早於 7.4-90075。

適用讀者

Synology NAS 管理員、備份及儲存服務維護人員

建議行動

依所用 DSM 分支升級至 7.2.1-69057-12、7.2.2-72806-9、7.3.2-86009-4、7.4-90075 或該分支之後適用版本，並核對實際安裝結果。Synology 公告的緩解措施欄為 None，應以官方安全更新處理，不把臨時限制存取當成修補。

風險評級依據

採用 Synology SA-26:13 的 Critical 評級。CVE-2026-13684 及 CVE-2026-13639 的供應商 CVSS 3.1 分數為 9.8；其他項目評分與利用前提不同。

解讀限制

未有已核實的香港受害個案、部署數量或這批漏洞野外利用情況。

本輪未能直接讀取 HKCERT 11 月 2 日公告正文，故不刊出研究素材所述的 HKCERT 評級或把它當作新漏洞發現日期。

本文依 Synology 公告核對 DSM 系統更新；這與 PHP2Shell 的 PHP 套件更新是不同公告，不能互相代替。

資料來源

• Synology SA-26:13：DSM 安全公告 ↗來源刊登：2026-09-18