في 10 نوفمبر 2026، نشرت Synology نشرة أمنية، Synology-SA-26:19، توضح تفاصيل ثغرتين. تتناول النشرة CVE-2026-76954 وCVE-2026-85101، وكلاهما يمكن استغلاله عن بُعد دون مصادقة المستخدم.

تم تصنيف CVE-2026-76954 على أنها حرجة بدرجة CVSS تبلغ 9.8. تتيح هذه الثغرة للمهاجمين عن بُعد قراءة أو كتابة ملفات عشوائية وتنفيذ هجمات حجب الخدمة. تم تصنيف CVE-2026-85101 على أنها مهمة بدرجة CVSS تبلغ 8.6، وتسمح للمهاجمين عن بُعد بقراءة ملفات محددة، وكتابة ملفات عشوائية، وتنفيذ هجمات حجب خدمة محدودة.

تشير نشرة Synology إلى أنه لا يوجد حل بديل لهذه الثغرات. توصي الشركة بالترقية إلى الإصدارات المُحَدَّثة للتخفيف من المخاطر. اعتبارًا من إصدار النشرة، لم تكن هذه الثغرات مدرجة في كتالوج الثغرات المستغلة المعروف لدى CISA.

تم اكتشاف الثغرات من قبل باحثين من Viettel Cyber Security Research Lab وAytio. لم يتم الإبلاغ عن أي استغلال لهذه الثغرات حتى الآن.