Für Betreiber eines Synology-NAS ist die wichtigste Frage nicht die Zahl der gemeldeten Schwachstellen, sondern der tatsächlich installierte DSM-Stand. Synologys Sicherheitshinweis vom 18. September 2026 nennt acht Lücken. Zwei davon, CVE-2026-13684 und CVE-2026-13639, bewertet der Hersteller mit CVSS 9,8; sie sind über das Netzwerk ohne Anmeldung angreifbar und können das Lesen oder Schreiben beliebiger Dateien sowie einen Ausfall ermöglichen.
Als behoben nennt Synology mindestens DSM 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 und 7.2.1-69057-12. In der ursprünglichen Fassung des Artikels fehlte bei der 7.3-Linie die Unterversion „.2“. Außerdem weist das aktualisierte Heise-Stück darauf hin, dass auf der 7.4-Linie bereits 7.4.1-90080 aktuell war. Die genannten Werte sind daher Fixschwellen, keine Empfehlung zum Installieren einer älteren Version.
Praktisch sollten Administratoren im DSM die vollständige Versionsnummer prüfen und das neueste für das jeweilige Modell angebotene Update installieren. Vorher ist ein aktuelles, getrenntes Backup sinnvoll; danach sollten Erreichbarkeit, Freigaben und Sicherungsjobs kontrolliert werden. Ein Update ersetzt kein Backup, weil bereits erfolgte Manipulationen damit nicht rückgängig werden.
Synology nennt keine Übergangslösung. Wenn ein betroffenes Gerät nicht sofort aktualisiert werden kann, sollte es bis zur Behebung nicht direkt aus dem Internet erreichbar sein; unnötige Portfreigaben und externe Dienste gehören deaktiviert oder durch einen kontrollierten Zugang ersetzt. Das reduziert die Angriffsfläche, beseitigt die Schwachstelle aber nicht.
Der Herstellerhinweis sagt nicht, dass die beiden kritischen Lücken bereits aktiv ausgenutzt werden. Wegen Netzwerkzugriff ohne Anmeldung, hoher Auswirkung und fehlender Mitigation ist zügiges Patchen dennoch angemessen. Maßgeblich bleibt der aktuelle Herstellerhinweis, weil Synology die Versionsliste nachträglich ändern kann.