Synology NAS 遭勒索軟件攻擊：舊版 DSM 須立即更新

Synology 表示，攻擊者正利用一個 2024 年 12 月已修補的 DSM 漏洞，加密舊版 NAS 上的資料。HKCERT 已發出警報，以下是應檢查的事項。

Synology 表示，攻擊者正利用一個已於 2024 年 12 月修補的 DiskStation Manager（DSM）漏洞，加密仍在使用過時或已停止支援 DSM 版本的 NAS 裝置上的資料，再要求贖金。HKCERT 已於 2026 年 11 月 2 日就這批攻擊發出勒索軟件警報。如果公司的共用檔案、會計紀錄或備份存放在 Synology NAS 上，今天就應檢查 DSM 版本。

事件經過

Synology 於 2026 年 10 月 29 日表示，已發現有攻擊者利用一個在 2024 年 12 月修補的漏洞，針對執行過時 DSM 版本的裝置，目的是加密資料並勒索贖金。同日另一份 Synology 聲明指出，這項威脅針對已停止支援的 DSM 版本，是公司在調查 PHP2Shell 漏洞影響時發現的。Synology 呼籲所有使用受影響版本的用戶立即更新 DSM，並開啟自動更新。

Synology 未有說明被利用的是哪一個 CVE，只引導用戶參閱安全公告 Synology-SA-24:20。該公告涵蓋三個在 Pwn2Own 2024 比賽中發現的 DSM 漏洞：CVE-2024-10441（遠端執行程式碼，CVSS 3.1 評分 9.8）、CVE-2024-50629（讀取有限檔案，5.3）及 CVE-2024-10445（寫入有限檔案，4.3）。今次攻擊實際利用哪一個漏洞，目前未獲證實。根據美國 CISA 於 2026 年 10 月 30 日發布的「已知被利用漏洞」（KEV）目錄版本，這三個漏洞均未被列入。

Synology-SA-24:20 列出的版本如下。這些只應視為最低基準，因為 Synology 其後的安全公告已提高要求（見下一節）：

DSM 7.2.2：7.2.2-72806-1 或以上
DSM 7.2.1：7.2.1-69057-6 或以上
DSM 7.2：7.2-64570-4 或以上
DSM 7.1：7.1.1-42962-7 或以上
DSM 6.2：6.2.4-25556-8 或以上

據 BleepingComputer 報道，這款勒索軟件名為 C3RB3R（Cerber），被加密的檔案會加上 .L0CK3D 副檔名，受害者會看到名為 read-me3.txt 的勒索字條。報道又引述 Shadowserver 指，目前有超過 380,000 部 Synology NAS 暴露於互聯網。Synology 未有公布入侵指標或解密工具，上述細節亦未經 Synology 證實。

較新的嚴重 DSM 漏洞：Synology-SA-26:13

Synology 於2026年9月18日發布 Synology-SA-26:13，嚴重程度為「Critical」。公告包括兩個 CVSS 評分 9.8 的漏洞：CVE-2026-13684（SCGI）及 CVE-2026-13639（登入邏輯的隨機性不足），遠端攻擊者毋須登入即可讀取或寫入任意檔案，並造成阻斷服務。已修補版本如下：

DSM 7.4：7.4-90075 或以上
DSM 7.3：7.3.2-86009-4 或以上
DSM 7.2.2：7.2.2-72806-9 或以上
DSM 7.2.1：7.2.1-69057-12 或以上

有第三方把今次攻擊連繫到這兩個較新的漏洞。香港中文大學資訊科技服務處指攻擊者據報利用 CVE-2026-13639 及 CVE-2026-13684；The Hacker News 則報道，奇虎 360 的分析把 C3RB3R 與同樣兩個 CVE 連繫起來。Synology 本身至今只提及2024年12月的修補。無論如何，停留在 7.2.2-72806-1 等較舊 SA-24:20 版本的 NAS，並未修補 SA-26:13 的漏洞。SA-26:13 沒有為已停止支援的 DSM 7.2、7.1 或 6.2 列出修補版本。

另一項更新：NAS 套件的 PHP2Shell 修補

Synology 亦已就 PHP2Shell 漏洞（CVE-2026-109618 及 CVE-2026-109619）推出 PHP 安全更新，適用於 DSM 7.4、7.3，以及已停止支援的 DSM 7.2、7.1、7.0 和 6.2。只有執行某些依賴 PHP 的套件的裝置受影響，包括 Calendar、IDrive、Joomla、KodExplorer、MailStation、MediaWiki、phpMyAdmin、vtigerCRM、Web Station 及 WordPress；Synology Drive 不受影響。HKCERT 指出，Synology 未有確認 PHP2Shell 是否與今次勒索軟件攻擊有關。

對香港中小企有甚麼影響

不少香港小型辦公室多年前購入 Synology NAS 作檔案伺服器或備份用途，之後便甚少再理會。較舊的型號可能停留在已不再定期更新的 DSM 版本；有些公司為方便員工在家存取檔案，亦會在路由器設定連接埠轉發。如果 NAS 同時是唯一存放備份的地方，一部裝置被入侵，工作檔案和用來還原的副本便可能一併受影響。我們的勒索軟件是甚麼指南介紹這類攻擊一般如何發生。

現在應該做甚麼

檢查 DSM 版本。在 DSM 開啟「控制台」中的「更新與還原」，並更新至該型號支援的最新 DSM 版本。DSM 7.2.1 至 7.4 最少應達到上述 Synology-SA-26:13 的版本；SA-24:20 的版本只是較舊的基準。
開啟自動更新。完成更新後，按 Synology 建議開啟 DSM 自動更新，並在「套件中心」更新已安裝的套件。
更新 PHP 及受影響套件。如有使用 Web Station、WordPress、MailStation 或上述其他套件，請在「套件中心」安裝 PHP 更新。MailStation 需要另行手動更新。DSM 6.2 以前的版本，應先停用這些套件，直至升級到受支援的 DSM 版本。
為已停止支援的硬件安排更換。如果型號無法執行受支援的 DSM 版本，應預留預算更換，而非依賴一次性的修補。我們的修補程式管理指南介紹如何追蹤這類裝置。
不要讓管理介面直接連上互聯網。不要直接開放 DSM 管理連接埠，移除不必要的連接埠轉發，遠端管理改用 VPN，並為管理員帳戶啟用多重身份驗證（MFA）。
保留一份 NAS 無法覆寫的備份。HKCERT 建議使用離線或不可變（immutable）備份，並定期測試還原。在同一部 NAS 上另開一個共用資料夾並不足夠。

如果檔案已被加密

HKCERT 建議先把 NAS 與網絡隔離，暫停同步及備份工作；保留勒索字條、被加密的檔案樣本和日誌，避免重設或格式化裝置。之後應找 IT 支援或事故應變服務商協助，清除惡意程式並安裝更新，在乾淨的裝置上重設帳戶密碼，再從經核實的乾淨備份還原資料。支付贖金不保證能取回資料，安裝更新亦不能解密已被加密的檔案。企業可透過 HKCERT 網上表格或 24 小時熱線 +852 8105 6060 報告事故。

我們的網絡安全與合規團隊可協助檢視 NAS 的對外暴露情況和備份設計，託管支援服務亦可接手日常的 DSM 及套件更新。

常見問題

這與 PHP2Shell 是同一件事嗎？

不是。Synology 把勒索軟件攻擊連繫到一個 2024 年 12 月已修補的 DSM 漏洞；PHP2Shell 則是另一組 PHP 漏洞，Synology 未有確認兩者有關。兩類更新都應安裝。

我們的 NAS 沒有連上互聯網，是否安全？

風險較低，但仍應更新。Synology 未有公開完整的攻擊途徑，而辦公室網絡內一部受感染的電腦，仍然可以接觸到 NAS。

Synology Drive 需要安裝 PHP 更新嗎？

Synology 表示 Synology Drive 不受 PHP2Shell 影響，但 DSM 本身仍須更新：最少要達到 7.4-90075、7.3.2-86009-4、7.2.2-72806-9 或 7.2.1-69057-12（Synology-SA-26:13），最好更新至該型號的最新版本。