Synology SA-26:15 Node2Shell セキュリティ勧告

Synology は Node2Shell として知られる脆弱性に関するセキュリティ勧告 SA-26:15 を公開しました。朗報は、ほとんどの Synology 製品は影響を受けないということです。ただし、Synology Chat Client ユーザーは対応が必要です。お客様のシステムに注意が必要かどうか確認してください。

Node2Shell 脆弱性とは何ですか？

この脆弱性は、Brotli デコーダーのバッファオーバーフロー欠陥に起因しており、Brotli デコーダーはさまざまなソフトウェアで使用されるデータ圧縮ライブラリです。Synology によると、これはすべてのプラットフォームで Google Brotli バージョン 1.0.3～1.2.0 に影響します。認証なしのリモート攻撃者がこの欠陥を悪用して、メモリを破損したり、機密データを漏らしたり、サービス妨害を引き起こしたり、特別に細工された圧縮ストリームを使用してシステム上で任意のコードを実行したりする可能性があります。

Synology はこの問題を CVSS3 スケールで 重大度スコア 9.8 と評価していますが、勧告自体は中程度と記されています。攻撃はユーザーの操作や特別な権限を必要としないため、露出しているシステムにとって本当の脅威です。

どの Synology 製品が影響を受けますか？

Synology は自社製品およびパッケージの幅広い範囲をこの脆弱性について評価しています。調査結果は明確です：

Synology Chat Client は影響を受けます（修正ステータス：継続中）
Synology Application Service は影響を受けません
Synology Calendar は影響を受けません
Synology Chat Server は影響を受けません
Synology Contacts は影響を受けません
Synology Drive Server は影響を受けません
Synology MailPlus は影響を受けません
Synology Meet は影響を受けません
Synology Office は影響を受けません
Synology Photos は影響を受けません
VPN Plus Server は影響を受けません
Note Station Client は影響を受けません

Synology Chat Client をご利用の場合は、ご使用のバージョンを確認し、アップデートに注意してください。Synology はまだ修正版をリリースしていないため、2026年10月30日の勧告最終更新時点で対応が進行中です。

今すぐ何をすべきですか？

Synology Chat Client をご利用の場合は、以下の対応をお願いします。

Synology Chat Client のご使用バージョンを確認する
Synology のセキュリティページで修正版のリリースを監視する
修正版が利用可能になったら、すぐにアップデートできる準備を整える
Synology は対応方法を示していないため、アップデートが主な防御策です

Drive Server、Photos、Calendar、または DSM を実行している NAS などの他の Synology 製品やサービスをご利用の場合は、この特定の脆弱性によるリスクはありません。これらのシステムについては対応は不要です。

Synology の構成について懸念がありますか？

Ryzen のマネージドサービスチームは、Synology システムの現在のバージョンを確認し、セキュリティアップデートを適用して、NAS とコラボレーションプラットフォームを安全に運用できるようにします。マレーシアにおける認定 Synology パートナーとして、単一 DiskStation から複数拠点の環境まで、あらゆる対応が可能です。システムのレビューや今後のアップデート管理をご希望の場合は、お気軽にお問い合わせください。

出典：Synology が 2026年10月29日に発表したSynology-SA-26:15 Node2Shell