Synology DS925+: RCE root via Redis MailPlus, patch disponibile

ZDI-26-423 espone una falla crittografica nel componente MailPlus Redis di Synology DS925+. Attaccanti network-adjacent ottengono RCE come root senza autenticazione.

L'advisory ZDI-26-423 pubblicato il 15 luglio 2026 svela una vulnerabilità nel componente MailPlus Redis del Synology DiskStation DS925+ che permette a un attaccante nella stessa rete di eseguire codice arbitrario con privilegi di root, senza possedere credenziali valide. La catena d'attacco parte da una crittografia debole nello storage delle password Redis, non da un exploit di servizio remoto tradizionale. Questo sposta il pericolo su una superficie spesso trascurata dai dispositivi SOHO e dalle piccole imprese.

Punti chiave

ZDI-26-423 colpisce specificamente il componente MailPlus Redis di Synology DiskStation DS925+.
L'attaccante network-adjacent ottiene RCE come root senza autenticazione previa.
La falla è crittografica: le password Redis vengono cifrate in formato recuperabile, permettendo il loro riutilizzo.
Synology ha rilasciato un aggiornamento correttivo; la disclosure coordinata è avvenuta oltre sette mesi dopo la segnalazione iniziale.

Come una password recuperabile apre il NAS

Secondo il dossier tecnico pubblicato da Zero Day Initiative, la vulnerabilità risiede nella configurazione dell'istanza MailPlus Redis. Il processo di storage delle password impiega una crittografia debole che le rende recuperabili da chiunque riesca a intercettarle o accedervi. L'advisory non dettaglia il meccanismo esatto di escalation dal recupero password all'esecuzione di codice come root, ma il percorso logico è chiaro: le credenziali compromesse abilitano l'autenticazione al servizio Redis o a componenti dipendenti, da cui si proietta il controllo completo del sistema.

Questa architettura di attacco è particolarmente insidiosa perché non richiede vulnerabilità nel kernel, nel web server o in altri servizi esposti. Il problema è nella promessa di protezione dei dati sensibili — le password di un servizio interno — che si rivela illusoria. Il NAS, venduto come soluzione di storage sicura per piccoli uffici e professionisti, espone un punto cieco in un componente apparentemente secondario.

"The specific flaw exists within the configuration of the MailPlus Redis instance. When storing passwords, the process encrypts them in a recoverable format. An attacker can leverage this vulnerability execute code in the context of root." — ZDI Advisory ZDI-26-423

La distanza tra "network-adjacent" e "locale"

Il vettore d'attacco definito dall'advisory è "network-adjacent", non "local" né "physical". Questa distinzione ha conseguenze operative precise: l'attaccante deve trovarsi nella stessa rete della vittima, ma non necessita di accesso fisico al dispositivo né di compromissione preliminare di altri sistemi. Reti Wi-Fi guest, ambienti multi-tenant, uffici condivisi o segmenti di rete aziendali con controlli di isolamento inadequati diventano teatri d'azione plausibili.

Il brief non specifica se siano necessarie condizioni di rete particolari oltre a questa prossimità topologica. Non è chiaro, ad esempio, se l'exploit richieda che il servizio Redis sia esposto su un'interfaccia specifica o se basti la mera presenza del componente MailPlus attivo. Questo limite nella documentazione lascia spazio a incertezze nella valutazione del rischio per deployment particolari.

Sette mesi di coordinamento, una patch senza versione

La timeline di disclosure è metodica e rivelatrice: la vulnerabilità segnalata il 4 dicembre 2025 è diventata pubblica il 15 luglio 2026, dopo oltre sette mesi di coordinamento tra il ricercatore, ZDI e Synology. Questa durata non è anomala per advisory coordinati, ma sottolinea che la correzione era disponibile prima della divulgazione pubblica.

Cosa non è nel brief: la versione esatta del firmware o del pacchetto MailPlus che corregge la falla. L'advisory afferma che "Synology has issued an update to correct this vulnerability" senza specificare il numero di release. Gli amministratori dovranno verificare autonomamente la disponibilità dell'aggiornamento nei canali ufficiali del vendor. Altrettanto non documentato è lo stato del CVE-2025-15660: il record è "reserved" su cve.org, senza dettagli tecnicamente utili al momento della stesura.

Cosa fare adesso

Quattro azioni prioritarie per chi gestisce un DS925+ o ne ha responsabilità operative:

Verificare la presenza del componente MailPlus sul sistema: se attivo, il rischio è concreto indipendentemente dall'utilizzo effettivo della funzionalità di posta.
Installare l'aggiornamento rilasciato da Synology non appena disponibile nel pannello di gestione DSM o nei canali ufficiali, anche senza il numero di versione specificato nell'advisory.
Isolare il NAS da reti condivise o segmenti guest dove attori non autorizzati potrebbero acquisire posizione network-adjacent, riducendo la superficie di esposizione al vettore documentato.
Rivedere la segmentazione di rete se il dispositivo risiede in ambienti multi-tenant o con accesso Wi-Fi ampio: la prossimità di rete è l'unico prerequisito confermato per l'exploit.

Non sono disponibili nel brief indicazioni su controlli compensativi, monitoraggio specifico o verifiche di compromissione passata. La raccomandazione si ferma all'applicazione della patch e alla riduzione dell'esposizione topologica.

Perché il caso ZDI-26-423 è più ampio di un NAS

Questa vulnerabilità racconta una storia ricorrente nell'hardware di fascia SOHO e SMB: i vendor investono nella sicurezza del perimetro visibile — web server, VPN, autenticazione a due fattori — mentre i servizi ausiliari rimangono ancorati a pratiche crittografiche obsolete. Redis non è un componente esotico in questi sistemi: è l'infrastruttura che supporta funzionalità collaborative, notifiche, caching. La sua invisibilità operativa lo rende però trascurabile nei cicli di hardening.

Il passaggio da "crittografia recuperabile" a "root remoto" senza autenticazione è un salto che i team di sviluppo dovrebbero impedire per principio architetturale, non per correzione retroattiva. Che Synology abbia impiegato oltre sette mesi a coordinare la patch suggerisce la complessità di modificare componenti legacy senza rompere dipendenze interne. Per gli utenti finali, la lezione è più semplice: il grado di sicurezza di un NAS non si misura sulle promesse del packaging, ma sulla trasparenza con cui il vendor documenta — o nasconde — le scelte crittografiche nei sottosistemi che nessuno controlla.

Domande frequenti

Solo il DS925+ è a rischio?

Il brief documenta esplicitamente solo il modello DS925+ come affetto. Non emerge conferma che altri modelli Synology condividano la stessa implementazione crittografica del componente MailPlus Redis.

Qual è il CVSS della vulnerabilità?

L'advisory ZDI non riporta un punteggio CVSS esplicito, né un vector. Il record CVE-2025-15660 è in stato "reserved" e non fornisce metriche aggiuntive.

L'attacco funziona da remoto su Internet?

No: il vettore è "network-adjacent", che richiede prossimità topologica nella stessa rete. Non è documentata né confermata esploitabilità da posizioni remote arbitrarie attraverso Internet.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti