A Synology divulgou uma vulnerabilidade em seu servidor de e-mail que pode permitir a invasores autenticados alterar configurações do sistema remotamente, afetando a estabilidade dos serviços de e-mail em ambientes domésticos e corporativos. Catalogada como CVE-2025-2848, a falha possui uma pontuação CVSS v3 de 6.3, sendo classificada como de severidade moderada.

A vulnerabilidade afeta o Synology Mail Server em dispositivos que utilizam o DiskStation Manager (DSM) nas versões 7.2 e 7.1. Segundo o comunicado da empresa, a falha permite que usuários autenticados leiam e modifiquem configurações não sensíveis e desativem algumas funções não críticas do serviço. Embora o impacto seja limitado, a exploração pode resultar em ataques de negação de serviço, erros de configuração e facilitar movimentações laterais em ambientes comprometidos.

As versões corrigidas são a 1.7.6-20676 para o DSM 7.2 e a 1.7.6-10676 para o DSM 7.1. A Synology recomenda que os administradores atualizem imediatamente para as versões corrigidas, auditem as permissões de usuários, especialmente em ambientes multiusuários ou com integração a serviços de diretório, e ativem a autenticação multifator (MFA) sempre que possível. Apesar de exigir autenticação, o risco é relevante em servidores com múltiplos usuários ou acessos externos, onde contas comprometidas podem ser usadas para alterar configurações e interromper o funcionamento adequado do sistema de e-mails.