Se ha publicado una vulnerabilidad crítica (CVE-2026-76954) en Synology DiskStation Manager (DSM) con una puntuación CVSS de 9.8. El fallo, una inyección SQL en la API de autenticación, afecta a versiones anteriores a 7.2.1-69057-13, 7.2.2-72806-10, 7.3.2-86009-5 y 7.4.1-90080-1. Un atacante remoto podría explotarla para leer o escribir archivos arbitrarios en el sistema y realizar ataques de denegación de servicio.
Ya existe una prueba de concepto pública en GitHub, lo que aumenta el riesgo de explotación activa. Aunque Shodan aún no reporta hosts detectados, la severidad de la vulnerabilidad y su exposición en aplicaciones públicas la convierten en una amenaza inmediata para los usuarios de Synology DSM que no hayan aplicado los parches correspondientes.
| CVE | CVE-2026-76954 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| CWE | CWE-89 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
| PoC público | github.com |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.