Synology bestätigt Ransomware-Angriffe auf NAS-Geräte mit veralteten DSM-Versionen

Am 29. Oktober 2026 hat das taiwanische Unternehmen Synology bestätigt, dass Angreifer eine Schwachstelle ausnutzen, die bereits im Dezember 2024 behoben wurde, um NAS-Geräte mit veralteten Versionen von DiskStation Manager (DSM) anzugreifen. Ziel der Angriffe ist die Verschlüsselung von Daten und anschließende Erpressung. Alle Besitzer eines Synology NAS, die DSM in den letzten zwei Jahren nicht aktualisiert haben, müssen umgehend aktuelle Patches installieren: Die Schwachstelle wird in realen Angriffen aktiv ausgenutzt.

Drei Schwachstellen im Sicherheitshinweis – aber welche wird tatsächlich ausgenutzt?

Synology verweist auf den Sicherheitshinweis Synology-SA-24:20, in dem drei DSM-Schwachstellen aufgeführt werden. Das Unternehmen hat jedoch nicht angegeben, welche davon in den aktuellen Angriffen verwendet wird. Das ist ein wichtiger Punkt: Die drei CVE haben unterschiedliche Kritikalität und betreffen verschiedene DSM-Zweige.

• CVE-2024-10441 (CVSS 9.8) – Schwachstelle einer fehlerhaften Kodierung/Escaping der Ausgabe im Daemon für System-Plugins von DSM. Ermöglicht Remote Code Execution (RCE) ohne Authentifizierung. Betrifft DSM 7.2, 7.2.1 und 7.2.2.
• CVE-2024-50629 (CVSS 5.3) – ähnliche Schwachstelle in der Komponente webapi, die einem entfernten Angreifer das Lesen eines begrenzten Satzes von Dateien ermöglicht. Betrifft DSM 7.1, 7.2, 7.2.1 und 7.2.2.
• CVE-2024-10445 (CVSS 4.3) – Schwachstelle einer fehlerhaften Zertifikatsvalidierung im Update-Mechanismus von DSM, die das Schreiben eines begrenzten Satzes von Dateien ermöglicht. Betrifft alle Zweige von DSM 6.2 bis 7.2.2. Bemerkenswert ist, dass der CVSS-Vektor für diese Schwachstelle auf Zugriff aus einem angrenzenden Netzwerk (Adjacent Network) und nicht aus dem Internet hinweist.

Angesichts der Tatsache, dass die Angriffe auf die Verschlüsselung von Daten abzielen, erscheint CVE-2024-10441 mit einer Bewertung von 9.8 und der Möglichkeit zur Remote Code Execution als wahrscheinlichster Kandidat. Es bleibt jedoch eine Vermutung: Synology hat den konkreten Vektor nicht bestätigt, und eine Angriffskette aus mehreren Schwachstellen kann nicht ausgeschlossen werden.

Die Grenzen der verwundbaren Versionen unterscheiden sich

Ein wichtiger, leicht zu übersehender Aspekt: Die drei CVE haben unterschiedliche Grenzen der betroffenen DSM-Versionen. CVE-2024-10441 erstreckt sich nur auf die Zweige DSM 7.2.x, während CVE-2024-10445 alle unterstützten Zweige bis einschließlich DSM 6.2 abdeckt. Das bedeutet, Administratoren können sich nicht auf eine einzige Patch-Tabelle für alle drei Schwachstellen stützen – es ist notwendig, die konkrete DSM-Version zu prüfen und das jeweils passende Update einzuspielen:

• DSM 7.2.2 → aktualisieren auf 7.2.2-72806-1 oder höher
• DSM 7.2.1 → aktualisieren auf 7.2.1-69057-6 oder höher
• DSM 7.2 → aktualisieren auf 7.2-64570-4 или höher
• DSM 7.1 → aktualisieren auf 7.1.1-42962-7 oder höher
• DSM 6.2 → aktualisieren auf 6.2.4-25556-8 oder höher

Historischer Kontext: NAS als Ziel für Ransomware

NAS-Geräte sind schon lange ein attraktives Ziel für Betreiber von Ransomware: Sie speichern geschäftskritische Daten, sind häufig aus dem Internet erreichbar und werden oft nur verzögert aktualisiert. Bereits 2021 hatte Synology vor einer Welle von Brute-Force-Angriffen gewarnt, die mit der Schadsoftware-Familie StealthWorker in Verbindung standen. Damals betonte das Unternehmen, dass keine Ausnutzung von Softwareschwachstellen festgestellt worden war – die Angriffe beruhten ausschließlich auf dem Erraten schwacher Zugangsdaten.

Parallel dazu beobachteten Forscher von Unit 42 (Palo Alto Networks) Aktivitäten der Ransomware eCh0raix, die auf Geräte von QNAP und Synology abzielte. Im Fall von QNAP wurde die Schwachstelle CVE-2021-28799 (NVD) in der Komponente HBS 3 ausgenutzt, die später in den CISA-Katalog der Known Exploited Vulnerabilities aufgenommen wurde.

Die aktuelle Kampagne im Jahr 2026 unterscheidet sich grundlegend von beiden historischen Episoden: Nach Angaben von Synology nutzen die Angreifer diesmal gezielt eine Softwareschwachstelle und nicht schwache Passwörter aus. Eine Verbindung zu eCh0raix oder StealthWorker ist auf Basis der verfügbaren Daten nicht belegt.

Was weiterhin unbekannt ist

Die verfügbaren Primärquellen offenbaren eine Reihe wesentlicher Details der aktuellen Kampagne nicht. Unklar sind: das Ausmaß der Angriffe (Zahl der betroffenen Geräte und Organisationen), die Attribution der Gruppe, konkrete Indikatoren einer Kompromittierung (IOC) sowie die Höhe der geforderten Lösegelder. Nutzerberichte in Foren erwähnen eine Ransomware mit der Erweiterung „.L0CK3D“, diese Angaben stammen jedoch aus nicht verifizierten Quellen und sind von unabhängigen Forschern nicht bestätigt.

Empfehlungen zum Schutz

Zum Schutz vor der aktuellen Angriffswelle und zur generellen Verringerung der Angriffsfläche von Synology NAS-Geräten:

1. Aktualisieren Sie DSM umgehend auf die im Sicherheitshinweis Synology-SA-24:20 genannten Versionen. Vorrang haben Geräte mit Internetzugang.
2. Aktivieren Sie das automatische DSM-Update – Synology empfiehlt diese Maßnahme ausdrücklich, um ähnliche Situationen künftig zu vermeiden.
3. Prüfen Sie die Netzwerkanbindung des NAS: Wenn das Gerät nicht aus dem Internet erreichbar sein soll, schließen Sie den externen Zugriff oder beschränken Sie ihn über ein VPN.
4. Härten Sie die Authentifizierung: Aktivieren Sie Multi-Faktor-Authentifizierung und die automatische Sperre nach fehlgeschlagenen Anmeldeversuchen. Das schützt vor Brute-Force-Angriffen, die parallel zur Ausnutzung von Schwachstellen weiterhin eine relevante Bedrohung darstellen.
5. Überprüfen Sie Ihre Backups: Stellen Sie sicher, dass kritische Daten eine Offline-Kopie oder eine Kopie besitzen, die vom NAS selbst aus nicht erreichbar ist. Erlangt eine Ransomware Zugriff auf das NAS, kann sie auch angebundene Backup-Speicher verschlüsseln.

Patches für alle betroffenen DSM-Zweige sind seit Dezember 2024 verfügbar – also seit fast zwei Jahren. Geräte, die so lange ohne Updates betrieben werden, sind nicht nur von der aktuellen Kampagne betroffen, sondern auch von allen anderen Schwachstellen, die in diesem Zeitraum behoben wurden. Administratoren von Synology NAS sollten DSM-Updates nicht als einmalige Reaktion auf eine konkrete Bedrohung betrachten, sondern als festen Bestandteil der regulären Wartung – und die aktuellen Patches heute einspielen.