Synology NAS pod ransomware: CERT Polska ostrzega przed lukami w DSM. Zaktualizuj system

Masz Synology w domu albo w firmie? CERT Polska ostrzega 3 listopada 2026 r. przed atakami ransomware na dyski NAS z nieaktualnym systemem DSM. Sprawcy szyfrują dane i żądają okupu, a część luk naprawiono już w 2024 roku – wystarczy zaktualizować system i ograniczyć dostęp z internetu.

O co chodzi w ostrzeżeniu

Zespół CERT Polska przekazał komunikat o podatnościach w Synology DiskStation Manager (DSM), które są aktywnie wykorzystywane w kampaniach ransomware. Producent wcześniej wykrył ataki na urządzenia działające na starych wersjach DSM. Cel jest typowy: zaszyfrować pliki i wymusić zapłatę za ich odzyskanie.

Według CERT i Synology atakujący sięgają po lukę CVE-2024-10441, usuniętą już w grudniu 2024 r. Pozwala ona niewylogowanemu napastnikowi na zdalne wykonanie kodu przez błędy w wybranych wtyczkach systemowych. Do tego w 2026 roku ujawniono dwie nowe krytyczne podatności DSM:

• CVE-2026-13639 – błędy w logice logowania,
• CVE-2026-13684 – niewłaściwe kodowanie w komponencie SCGI.

Obie umożliwiają niewylogowanemu atakującemu zdalny odczyt lub zapis dowolnych plików oraz ataki typu denial-of-service. W analizach kampanii pojawia się też rodzina ransomware C3RB3R: zaszyfrowane pliki dostają rozszerzenie .L0CK3D, a w katalogach zostaje nota okupowa.

Dlaczego to ważne dla polskich użytkowników

Synology to popularny wybór w małych firmach, kancelariach, pracowniach i domach – na NAS-ach lądują kopie zapasowe komputerów, zdjęcia, dokumenty księgowe, skany i archiwa projektów. Jeśli dysk jest widoczny z internetu i system DSM jest stary, atak nie wymaga wyrafinowanego włamania do sieci firmowej. Wystarczy znaleźć urządzenie, wykorzystać znaną lukę i zaszyfrować dane.

Najgorszy scenariusz to właśnie utrata kopii zapasowych: gdy NAS służy jako jedyne miejsce backupu i jednocześnie jest celem ataku, odbudowa po incydencie bywa bardzo kosztowna. Stąd komunikat CERT dotyczy nie tylko administratorów IT, ale każdej osoby, która trzyma ważne pliki na Synology.

Jakie wersje DSM są bezpieczne

CERT Polska rekomenduje natychmiastową aktualizację DSM do jednej z poniższych wersji lub nowszej:

• 7.1.1-42962-7
• 7.2-64570-4
• 7.2.1-69057-12
• 7.2.2-72806-9
• 7.3.2-86009-4
• 7.4-90075

Użytkownicy BSM powinni przejść na wersję 1.1-65374 lub nowszą. Synology zaleca też włączenie automatycznych aktualizacji, żeby łatki trafiały na urządzenie bez czekania na ręczną interwencję.

Co zrobić teraz – krótka lista

• Sprawdź wersję DSM w panelu sterowania i zainstaluj najnowszą aktualizację dostępną dla Twojego modelu.
• Włącz automatyczne aktualizacje systemu i pakietów, o ile pozwala na to Twoja polityka zmian.
• Nie wystawiaj panelu DSM do internetu. Dostęp zdalny rób przez VPN albo inne bezpieczne, ograniczone rozwiązanie – nie przez otwarty port na routerze.
• Włącz MFA na kontach administratorskich i usuń nieużywane konta.
• Zrób kopię zapasową poza NAS-em (np. drugi dysk offline, chmura z wersjonowaniem) i sprawdź, czy umiesz z niej odtworzyć dane.
• Po aktualizacji przyjrzyj się logom: nietypowe logowania, masowe zmiany plików albo podejrzane procesy to sygnał, żeby izolować urządzenie i nie polegać wyłącznie na łatce – łatka nie usuwa już istniejącego włamania.

Co jeśli podejrzewasz atak

Odłącz NAS od sieci, nie restartuj go na ślepo i nie kasuj śladów. Zachowaj notę okupową i przykładowe zaszyfrowane pliki jako dowód. Zgłoś sprawę do CERT Polska przez formularz na incydent.cert.pl. Nie płać okupu „na próbę” – to nie gwarantuje odszyfrowania, a finansuje kolejne ataki. Jeśli w grę wchodzą dane osobowe klientów lub pracowników, rozważ też obowiązki wynikające z RODO i kontakt z prawnikiem albo IOD.

Aktualizacja DSM zajmuje zwykle kilka–kilkanaście minut. To znacznie mniej niż odzyskiwanie firmy albo domowego archiwum po ransomware.

Źródło: CERT Polska – Podatności w systemie Synology DSM wykorzystywane w atakach ransomware, Synology – apel o aktualizację DSM (kampania ransomware), Synology Security Advisory SA_26_13, Synology Security Advisory SA_24_20

Artykuł zredagowany przy pomocy AI.