CVE-2026-19048 Synology DSM thumb 元件符號連結處理不當導致任意檔案寫入

三句重點

成因

thumb 元件存取檔案前未妥善解析連結（CWE-59），導致跟隨符號連結。

影響

可寫入或竄改任意檔案並造成服務中斷，機密性不受影響。

條件

需有效的低權限 DSM 帳號，可經網路發動，不需使用者互動。

版本比對

修補方式

升級至 7.4.1-90080-1 以上版本。

攻擊思路

1. 取得低權限帳號：攻擊者需持有有效的低權限 DSM 帳號（PR:L），無法以未驗證身分利用。 來源
2. 經網路觸及 thumb 元件：攻擊面為網路可達的 DSM 服務（AV:N、AC:L、UI:N），不需使用者互動；原廠未公開具體端點或參數。 來源
3. 連結解析不當：thumb 元件在存取檔案前未妥善解析連結（CWE-59），可能被導向非預期的檔案位置。 來源
4. 影響：成功利用可寫入任意檔案，造成完整性受損與服務中斷（I:H、A:H）。 來源

偵測提示

• DSM 共用資料夾檔案系統：檢查低權限使用者可寫目錄中是否出現指向系統路徑的符號連結。
• DSM 系統日誌與登入紀錄：留意低權限帳號異常登入、來源位址異常或短時間內大量縮圖相關請求。
• 系統關鍵檔案與設定：檢查非預期的檔案修改時間或內容變動，以及服務無預期中斷或重啟。
• DSM 版本資訊：確認 DSM 版本是否低於修補版本（7.4.1-90080-1 或 7.3.2-86009-5）。

暫時緩解

升級 DSM 7.4 至 7.4.1-90080-1 或以上，DSM 7.3 至 7.3.2-86009-5 或以上（Synology-SA-26:18）。原廠標示無官方暫時緩解；升級前可考慮不將管理介面暴露於網際網路並限縮可登入帳號，此為一般性風險降低作法，非原廠建議。

通報團隊

複製成可直接貼到 Slack 或 Email 的通報文字。

🚨【資安漏洞通報】CVE-2026-19048
等級：High (8.1)
受影響套件：Synology DiskStation Manager (DSM) DSM 7.4 低於 7.4.1-90080-1；DSM 7.3 低於 7.3.2-86009-5
漏洞簡述：thumb 元件存取檔案前未妥善解析連結（CWE-59），導致跟隨符號連結。；可寫入或竄改任意檔案並造成服務中斷，機密性不受影響。；需有效的低權限 DSM 帳號，可經網路發動，不需使用者互動。
建議措施：升級至 7.4.1-90080-1 以上版本
詳細連結：https://cve.eacc.online/cve/CVE-2026-19048

參考連結

• https://www.synology.com/en-global/security/advisory/Synology_SA_26_18
• https://www.cve.org/CVERecord?id=CVE-2026-19048

同套件的其他 CVE

• CVE-2026-18792 Synology DSM Sharing API 路徑穿越導致任意檔案讀寫與服務中斷
• CVE-2026-18596 Synology DSM OTP 元件驗證繞過漏洞