Synology NAS 遭勒索软件攻击：旧版 DSM 需立即更新

Synology 表示，攻击者正利用一个 2024 年 12 月已修复的 DSM 漏洞，加密旧版 NAS 上的数据。HKCERT 已发出警报，以下是需要检查的事项。

Synology（群晖）表示，攻击者正在利用一个已于 2024 年 12 月修复的 DiskStation Manager（DSM）漏洞，对仍运行过时或已停止支持 DSM 版本的 NAS 设备加密数据并勒索赎金。香港 HKCERT 已于 2026 年 11 月 2 日就此发出勒索软件警报。如果公司的共享文件、财务记录或备份存放在 Synology NAS 上，建议今天就检查 DSM 版本。

事件概况

Synology 在 2026 年 10 月 29 日表示，已发现攻击者利用一个 2024 年 12 月修复的漏洞，攻击运行过时 DSM 版本的设备，目的是加密数据并勒索赎金。同一天发布的另一份声明称，这一威胁针对的是已停止支持的 DSM 版本，是 Synology 在调查 PHP2Shell 漏洞影响时发现的。Synology 要求所有使用受影响版本的用户立即更新 DSM，并开启自动更新。

Synology 没有说明被利用的具体 CVE，只是让用户参考安全公告 Synology-SA-24:20。这份公告涉及在 Pwn2Own 2024 比赛中发现的三个 DSM 漏洞：CVE-2024-10441（远程代码执行，CVSS 3.1 评分 9.8）、CVE-2024-50629（有限文件读取，5.3）和 CVE-2024-10445（有限文件写入，4.3）。这次攻击具体利用了哪个漏洞，目前尚未得到证实。在美国 CISA 于 2026 年 10 月 30 日发布的“已知被利用漏洞”（KEV）目录版本中，这三个漏洞都没有被列入。

Synology-SA-24:20 列出的版本如下。这些只应视为最低基准，因为 Synology 之后的安全公告已经提高了要求（见下一节）：

DSM 7.2.2：7.2.2-72806-1 及以上
DSM 7.2.1：7.2.1-69057-6 及以上
DSM 7.2：7.2-64570-4 及以上
DSM 7.1：7.1.1-42962-7 及以上
DSM 6.2：6.2.4-25556-8 及以上

据 BleepingComputer 报道，这款勒索软件名为 C3RB3R（Cerber），被加密的文件会加上 .L0CK3D 扩展名，受害者会看到名为 read-me3.txt 的勒索说明。报道还引用 Shadowserver 的数据称，有超过 380,000 台 Synology NAS 暴露在互联网上。Synology 没有公布入侵指标或解密工具，以上细节也未经 Synology 证实。

更新的严重 DSM 漏洞：Synology-SA-26:13

Synology 于2026年9月18日发布 Synology-SA-26:13，严重程度为“Critical”。公告包括两个 CVSS 评分 9.8 的漏洞：CVE-2026-13684（SCGI）和 CVE-2026-13639（登录逻辑随机性不足），远程攻击者无需登录即可读取或写入任意文件，并造成拒绝服务。修复版本如下：

DSM 7.4：7.4-90075 及以上
DSM 7.3：7.3.2-86009-4 及以上
DSM 7.2.2：7.2.2-72806-9 及以上
DSM 7.2.1：7.2.1-69057-12 及以上

有第三方将这次攻击与这两个较新的漏洞联系起来。香港中文大学资讯科技服务处称，攻击者据报利用了 CVE-2026-13639 和 CVE-2026-13684；The Hacker News 则报道，奇虎 360 的分析把 C3RB3R 与这两个 CVE 联系在一起。Synology 本身目前只提到2024年12月的修复。无论如何，停留在 7.2.2-72806-1 等较旧 SA-24:20 版本的 NAS，并没有修复 SA-26:13 的漏洞。SA-26:13 没有为已停止支持的 DSM 7.2、7.1 或 6.2 列出修复版本。

另一项更新：NAS 套件的 PHP2Shell 修复

Synology 还针对 PHP2Shell 漏洞（CVE-2026-109618 和 CVE-2026-109619）发布了 PHP 安全更新，覆盖 DSM 7.4、7.3，以及已停止支持的 DSM 7.2、7.1、7.0 和 6.2。只有运行部分依赖 PHP 的套件的设备受影响，包括 Calendar、IDrive、Joomla、KodExplorer、MailStation、MediaWiki、phpMyAdmin、vtigerCRM、Web Station 和 WordPress；Synology Drive 不受影响。HKCERT 提到，Synology 尚未确认 PHP2Shell 是否与这次勒索软件攻击有关。

对香港中小企业的影响

不少香港小型办公室几年前买了 Synology NAS 用作文件服务器或备份设备，之后就很少维护。较旧的型号可能停留在不再定期更新的 DSM 版本上；有些公司为了让员工在家访问文件，还在路由器上做了端口转发。如果 NAS 同时是唯一存放备份的地方，一台设备被攻破，工作文件和用于恢复的副本可能会一起受影响。我们的什么是勒索软件指南介绍了这类攻击通常如何发生。

现在应该怎么做

检查 DSM 版本。在 DSM 中打开“控制面板”里的“更新和还原”，并更新到该型号支持的最新 DSM 版本。DSM 7.2.1 至 7.4 至少应达到上面 Synology-SA-26:13 的版本；SA-24:20 的版本只是较旧的基准。
开启自动更新。更新完成后，按照 Synology 的建议开启 DSM 自动更新，并在“套件中心”更新已安装的套件。
更新 PHP 和受影响的套件。如果在用 Web Station、WordPress、MailStation 或上面列出的其他套件，请在“套件中心”安装 PHP 更新。MailStation 需要单独手动更新。DSM 6.2 之前的版本，应先停用这些套件，直到升级到受支持的 DSM 版本。
为停止支持的硬件安排更换。如果型号无法运行受支持的 DSM 版本，应预留预算进行更换，而不是依赖一次性的修复。我们的补丁管理指南介绍了如何跟踪这类设备。
不要把管理界面直接暴露在互联网上。不要直接开放 DSM 管理端口，删除不必要的端口转发，远程管理改用 VPN，并为管理员账号开启多重身份验证（MFA）。
保留一份 NAS 无法覆盖的备份。HKCERT 建议使用离线备份或不可变（immutable）备份，并定期做恢复测试。在同一台 NAS 上另建一个共享文件夹是不够的。

如果文件已经被加密

HKCERT 建议先把 NAS 从网络中隔离，暂停同步和备份任务；保留勒索说明、被加密的文件样本和日志，不要重置或格式化设备。随后请 IT 支持或事件响应服务商协助，清除恶意程序并安装更新，在干净的设备上重置账号密码，再从经过核实的干净备份中恢复数据。支付赎金并不能保证找回数据，安装更新也无法解密已经被加密的文件。企业可以通过 HKCERT 网上表格或 24 小时热线 +852 8105 6060 报告事件。

我们的网络安全与合规团队可以帮助评估 NAS 的对外暴露情况和备份设计，托管支持服务也可以负责日常的 DSM 和套件更新。

常见问题

这和 PHP2Shell 是同一回事吗？

不是。Synology 将勒索软件攻击与一个 2024 年 12 月已修复的 DSM 漏洞联系在一起；PHP2Shell 是另一组 PHP 漏洞，Synology 尚未确认两者有关。两类更新都应该安装。

我们的 NAS 没有连接互联网，是否安全？

风险较低，但仍然需要更新。Synology 没有公开完整的攻击路径，而且办公网络中一台被感染的电脑仍然可以访问 NAS。

Synology Drive 需要安装 PHP 更新吗？

Synology 表示 Synology Drive 不受 PHP2Shell 影响，但 DSM 本身仍需更新：至少要达到 7.4-90075、7.3.2-86009-4、7.2.2-72806-9 或 7.2.1-69057-12（Synology-SA-26:13），最好更新到该型号的最新版本。