¿Qué es esta vulnerabilidad?
Se trata de una vulnerabilidad de bypass de autenticación (CWE-288) en el sistema de autenticación OTP (One-Time Password) de Synology DiskStation Manager (DSM). Permite a atacantes remotos con credenciales de usuario válidas eludir las protecciones de autenticación mediante caminos alternativos.
Productos y versiones afectadas
Versiones de Synology DSM anteriores a 7.3.2-86009-5 y 7.4.1-90080-1.
Impacto y explotación
Los atacantes pueden leer o escribir archivos arbitrarios y realizar ataques de denegación de servicio. La vulnerabilidad tiene una calificación CVSS: 8.1 (alta) y fue catalogada como crítica por el NVD en las últimas 24 horas. El EPSS indica un 0.7% de probabilidad de explotación real en los próximos 30 días (percentil 52%). Actualmente Shodan no reporta hosts expuestos detectados con esta vulnerabilidad.
¿Qué hacer?
Los usuarios deben actualizar inmediatamente a las versiones Synology DSM 7.3.2-86009-5 o 7.4.1-90080-1 o superiores para mitigar la vulnerabilidad.
| CVE | CVE-2026-18596 |
|---|---|
| Severidad | HIGH |
| CVSS | 8.1 / 10 |
| EPSS | 0.7% en 30 días (percentil 52) |
| CWE | CWE-288 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |